Przepisy dotyczące przeciwdziałania praniu pieniędzy

Ostatnia aktualizacja: 03.06.2026

Jakie są obowiązki AML w Polsce?

Zgodnie z ustawą AML w Polsce instytucja obowiązana powinna: 1) identyfikować i weryfikować klienta (oraz jego beneficjenta rzeczywistego), 2) monitorować stosunki gospodarcze z klientem, w tym w szczególności analizować transakcje przeprowadzane w ramach tych stosunków, 3) wdrożyć i utrzymywać wewnętrzne polityki, procedury i mechanizmy kontroli AML, w tym środki oceny ryzyka, programy szkolenia pracowników oraz systemy zgłaszania transakcji podejrzanych, 4) wyznaczyć osobę odpowiedzialną za zgodność, odpowiedzialną za nadzorowanie i zapewnianie zgodności z regulacjami AML.

Polityka AML w Polsce

Każda instytucja obowiązana w Polsce musi posiadać i stosować wewnętrzną procedurę przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.

Instytucje obowiązane
banki krajowe	oddziały banków zagranicznych
oddziały instytucji kredytowych	instytucje finansowe mające siedzibę na terytorium Polski
oddziały instytucji finansowych niemających siedziby na terytorium Polski	spółdzielcze kasy oszczędnościowo-kredytowe oraz Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa
Krajowe instytucje płatnicze	oddziały unijnych instytucji płatniczych, oddziały unijnych i zagranicznych instytucji pieniądza elektronicznego
krajowe instytucje pieniądza elektronicznego	małe instytucje płatnicze
firmy inwestycyjne	biura usług płatniczych i agenci rozliczeniowi
banki powiernicze	oddziały zagranicznych firm inwestycyjnych prowadzące działalność na terytorium Polski
Zagraniczne podmioty prowadzące w Polsce działalność maklerską	towarowe domy maklerskie
fundusze inwestycyjne	alternatywne spółki inwestycyjne
towarzystwa funduszy inwestycyjnych	zarządzający ASI
oddziały spółek zarządzających oraz oddziały zarządzających z Unii Europejskiej znajdujące się na terytorium Polski	podmioty prowadzące system rozrachunku oparty na DLT
przedsiębiorcy prowadzący działalność kantorową	VASP (podmioty prowadzące działalność w zakresie walut wirtualnych)
zakłady ubezpieczeń	Pośrednicy w obrocie nieruchomościami

Szczegółowy katalog instytucji obowiązanych wskazany jest w art. 2 ust. 1 ustawy AML/CFT. Minimalne postanowienia wewnętrznej procedury AML/CFT (polityki AML) powinny obejmować określenie:

• czynności lub działań podejmowanych w celu ograniczenia ryzyka prania pieniędzy i finansowania terroryzmu oraz właściwego zarządzania zidentyfikowanym ryzykiem prania pieniędzy i finansowania terroryzmu;
• zasad rozpoznawania i oceny ryzyka prania pieniędzy i finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną, w tym zasad weryfikacji i aktualizacji uprzednio dokonanej oceny ryzyka prania pieniędzy i finansowania terroryzmu;
• środków stosowanych w celu właściwego zarządzania rozpoznanym ryzykiem prania pieniędzy lub finansowania terroryzmu związanym z danymi stosunkami gospodarczymi lub transakcją okazjonalną;
• zasad stosowania środków bezpieczeństwa finansowego; zasad przechowywania dokumentów i informacji;
• zasad wykonywania obowiązków obejmujących przekazywanie Generalnemu Inspektorowi informacji o transakcjach i zawiadomień;
• zasad upowszechniania wśród pracowników instytucji obowiązanej wiedzy z zakresu przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu;
• zasad zgłaszania przez pracowników rzeczywistych lub potencjalnych naruszeń przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu;
• zasad kontroli wewnętrznej lub nadzoru zgodności działalności instytucji obowiązanej z przepisami o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a także zasad postępowania określonych w procedurze wewnętrznej;
• zasad odnotowywania rozbieżności między informacjami zgromadzonymi w Centralnym Rejestrze Beneficjentów Rzeczywistych a informacjami o beneficjentach rzeczywistych klienta w związku ze stosowaniem ustawy;
• zasad dokumentowania utrudnień stwierdzonych w związku z weryfikacją tożsamości beneficjenta rzeczywistego oraz czynności podejmowanych w związku z identyfikacją jako beneficjenta rzeczywistego osoby fizycznej zajmującej wyższe stanowisko kierownicze.

Podejście oparte na ryzyku w przeciwdziałaniu praniu pieniędzy

Podejście oparte na ryzyku oznacza, że państwa, organy nadzoru oraz, co najważniejsze, instytucje obowiązane oceniają i rozumieją ryzyka prania pieniędzy i finansowania terroryzmu, na które są narażone, oraz podejmują środki ograniczające ryzyko odpowiednie (współmierne) do poziomu tych ryzyk. Podejście oparte na ryzyku jest podstawową zasadą, którą instytucje obowiązane powinny kierować się w swojej działalności operacyjnej, i sprowadza się do tego, że to instytucja obowiązana decyduje, w jaki sposób powinna stosować środki bezpieczeństwa finansowego. Jednocześnie przyjęta ocena i środki muszą być możliwe do wyjaśnienia przez instytucję obowiązaną zgodnie z zasadą rozliczalności. W praktyce podejście oparte na ryzyku będzie polegało na:

• przygotowywaniu ocen ryzyka zarówno na poziomie poszczególnych instytucji obowiązanych, jak i na poziomie krajowym oraz europejskim,
• decydowaniu, na podstawie przygotowanej i bieżącej oceny ryzyka, o zakresie i intensywności stosowanych środków bezpieczeństwa finansowego. Każda instytucja obowiązana samodzielnie decyduje, jakie środki bezpieczeństwa finansowego i z jaką intensywnością zastosuje wobec danego klienta, co oznacza, że ponosi pełną odpowiedzialność za dobór tych środków w sposób współmierny do sytuacji. W przypadku kontroli lub nadzoru instytucja obowiązana będzie musiała wykazać, że w świetle okoliczności dotyczących danego klienta zastosowane środki bezpieczeństwa finansowego były adekwatne do zdiagnozowanego ryzyka,
• możliwości stosowania wzmożonych lub uproszczonych środków bezpieczeństwa finansowego, w zależności od okoliczności.

Należy pamiętać, że podejście oparte na ryzyku nie jest podejściem zero-jedynkowym, oznaczającym „zero niepowodzeń”. Mogą bowiem wystąpić sytuacje, w których instytucja obowiązana podjęła racjonalne środki AML/CFT w celu identyfikacji i ograniczenia ryzyka, a mimo to została wykorzystana do celów sprzecznych z ustawą (Wytyczne FATF dotyczące podejścia opartego na ryzyku do usług przekazu pieniężnego lub wartości – https://www.fatf-gafi.org/media/fatf/documents/reports/Guidance-RBA-money-value-transfer-services.pdf). Instytucje obowiązane nie powinny również próbować całkowicie unikać ryzyka poprzez masowe zrywanie relacji z klientami z określonych sektorów („de-risking”). Bezrefleksyjna odmowa świadczenia usług lub zaprzestanie świadczenia usług określonej grupie klientów może skutkować ryzykiem wykluczenia finansowego, a także ryzykiem reputacyjnym. W odniesieniu do de-riskingu polski GIIF wydał komunikat nr 73, w którym wskazał, że:

• Rezygnacja z nawiązania stosunków gospodarczych lub decyzja o zakończeniu stosunków gospodarczych nie może być podyktowana wyłącznie faktem, że podmiot należy do grupy klientów o wyższym ryzyku prania pieniędzy i finansowania terroryzmu. Każda decyzja dotycząca takiego klienta powinna opierać się na indywidualnej analizie,
• GIIF nie posiada ustawowych kompetencji do ingerowania w powyższe decyzje instytucji obowiązanych, w szczególności nie może wpływać na ich zmianę, ma jednak wpływ i będzie reagować w przypadku wystąpienia w instytucjach obowiązanych systemowych problemów z oceną ryzyka klientów, prowadzących do wykluczania całych kategorii klientów ze stosunków gospodarczych.

Financial Action Task Force (FATF – międzyrządowa organizacja powołana do zwalczania prania pieniędzy i finansowania terroryzmu) rekomenduje, aby instytucje obowiązane uwzględniały poziom ryzyka każdego indywidualnego klienta oraz wszelkie właściwe środki ograniczania ryzyka. EBA zakłada, że ryzyko związane z każdym typem grupy klientów nie jest statyczne i oczekuje się, że w ramach danej grupy klientów, na podstawie różnych czynników, poszczególni klienci mogą być również klasyfikowani do kategorii ryzyka takich jak niskie, średnie lub wysokie ryzyko, odpowiednio do okoliczności. Środki ograniczania ryzyka powinny być stosowane odpowiednio. https://www.gov.pl/web/finanse/komunikat-nr-73-w-sprawie-wykluczania-niektorych-kategorii-klientow-z-nawiazywania-stosunkow-gospodarczych-derisking-oraz-skarg-wnoszonych-do-generalnego-inspektora-informacji-finansowej-przez-klientow-instytucji-obowiazanych

Ocena ryzyka – wymagania AML

Ocena ryzyka jest najważniejszą częścią działań instytucji obowiązanej mających na celu zapobieganie praniu pieniędzy i finansowaniu terroryzmu. Wynika to z faktu, że stanowi ona punkt wyjścia do budowania procedur wewnętrznych, nawiązywania stosunków gospodarczych z klientami oraz odpowiedzialności administracyjnej instytucji obowiązanej. Kwestie dotyczące oceny ryzyka zostały ukształtowane zarówno przez prawo polskie, jak i przez organy nadzoru, takie jak Komisja Nadzoru Finansowego (stanowisko UKNF w sprawie oceny ryzyka instytucji obowiązanej z 15 kwietnia 2020 r. oraz stanowisko UKNF dotyczące procesów realizowanych przez instytucję obowiązaną w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, które powinny być określone w procedurach wewnętrznych, z 19 marca 2026 r.) oraz Generalnego Inspektora Informacji Finansowej (Komunikat nr 36 dotyczący oceny ryzyka instytucji obowiązanej). Zgodnie z komunikatem GIIF należy zwrócić uwagę na następujące kwestie:

• instytucja obowiązana ocenia ryzyko na 2 sposoby, przygotowując:
  • (i) „ogólną ocenę ryzyka” prania pieniędzy i finansowania terroryzmu dotyczącą ogólnej działalności instytucji obowiązanej, oraz
  • (ii) „indywidualną ocenę ryzyka”, która dotyczy identyfikacji i oceny ryzyka prania pieniędzy i finansowania terroryzmu odnoszącego się do konkretnego i indywidualnego stosunku gospodarczego instytucji obowiązanej z klientem albo do konkretnej i indywidualnej transakcji okazjonalnej,
• wnioski wynikające z indywidualnych ocen ryzyka powinny wpływać na bieżące aktualizacje ogólnej oceny ryzyka, ogólna ocena ryzyka musi być bezwzględnie dostosowana do charakteru i zakresu działalności prowadzonej przez instytucję obowiązaną,

Zakres oceny ryzyka

Minimalny zakres dotyczący oceny ryzyka instytucji obowiązanych jest uregulowany w art. 27 polskiej ustawy AML i obejmuje następujące czynniki:

• klientów,
• państwa lub obszary geograficzne,
• produkty,
• usługi,
• transakcje lub kanały ich dostarczania.

Powyższe czynniki powinny podlegać analizie, której zakres i złożoność powinny zależeć od charakteru działalności instytucji obowiązanej oraz skali tej działalności. Ponieważ katalog czynników podlegających ocenie ryzyka jest otwarty, UKNF wskazuje w cytowanym powyżej stanowisku, że instytucje obowiązane mogą rozszerzać ten minimalny zakres i podejmować dodatkową analizę obejmującą na przykład:

• narzędzia i systemy IT wykorzystywane przez instytucję obowiązaną (np. systemy wspierające proces analizy transakcji, systemy weryfikacji klientów względem list sankcyjnych itp.),
• stopień zależności instytucji obowiązanej w obszarze związanym z AML od dostawców zewnętrznych, outsourcing procesów związanych z AML,
• adekwatność struktury organizacyjnej i liczby pracowników odpowiedzialnych za wykonywanie obowiązków AML/CFT w stosunku do zidentyfikowanego ryzyka,
• skalę rotacji pracowników i kadry zarządzającej jednostek odpowiedzialnych za procesy AML,
• skuteczność systemu kontroli wewnętrznej i jego adekwatność w stosunku do wielkości instytucji obowiązanej,
• skuteczność systemu szkoleń AML,
• zmiany w działalności gospodarczej planowane przez instytucję obowiązaną,
• oczekiwane zmiany w strukturze i liczbie klientów, przychodach, wolumenach transakcji itp.,
• planowane zmiany w strukturze organizacyjnej instytucji obowiązanej,
• planowane działania wynikające ze strategii instytucji obowiązanej, w szczególności planowane fuzje i przejęcia lub zmiany w strukturze własnościowej,
• strukturę instytucji obowiązanej,
• zdolność do zapewnienia ciągłości procesów AML w przypadku sytuacji kryzysowych pozostających poza kontrolą instytucji obowiązanej,
• istotne zmiany w otoczeniu prawnym związanym z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu.

Ponadto analiza powinna również uwzględniać elementy wskazujące na wyższe ryzyko prania pieniędzy i finansowania terroryzmu, których otwarty katalog został ujęty przez ustawodawcę w art. 43 ust. 2 ustawy AML. Co więcej, rzetelna ocena ryzyka musi obejmować rygorystyczne mechanizmy kontroli sankcyjnej, aby zapewnić zgodność z międzynarodowymi środkami ograniczającymi. Instytucje obowiązane są zobowiązane do weryfikacji klientów i beneficjentów rzeczywistych względem odpowiednich list sankcyjnych. Proces tej weryfikacji ma kluczowe znaczenie dla zapobiegania świadczeniu usług finansowych na rzecz wskazanych osób lub podmiotów, a tym samym ograniczania ryzyka ułatwiania zakazanych transakcji lub narażenia się na surowe sankcje regulacyjne. Analizując ryzyko, instytucje obowiązane mogą kierować się:

• krajową oceną ryzyka (najnowsza wersja wydana przez polskie Ministerstwo Finansów w 2023 r. jest dostępna pod linkiem: https://www.gov.pl/web/finanse/krajowa-ocena-ryzyka-prania-pieniedzy-oraz-finansowania-terroryzmu),
• raportem Komisji Europejskiej dotyczącym oceny ryzyka prania pieniędzy i finansowania terroryzmu,
• wynikami audytów, zarówno wewnętrznych, jak i zewnętrznych,
• dokumentami wewnętrznymi instytucji obowiązanej,
• procedurami i dokumentami opracowanymi przez inne instytucje w ramach tej samej grupy,
• wiedzą ekspercką,
• stanowiskami lub komunikatami właściwych organów, takich jak Komisja Nadzoru Finansowego (UKNF), Generalny Inspektor Informacji Finansowej (GIIF),
• opracowaniami Europejskiego Urzędu Nadzoru Bankowego (EBA), Europejskiego Urzędu Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA), Europejskiego Urzędu Nadzoru Giełd i Papierów Wartościowych (ESMA),
• opracowaniami instytucji branżowych działających w obszarach nadzorowanych przez UKNF,
• opracowaniami instytucji międzynarodowych zajmujących się praniem pieniędzy, w szczególności Financial Action Task Force (FATF), Moneyval, Organizacji Narodów Zjednoczonych.

Metodyka oceny ryzyka

Polski ustawodawca nie wskazuje konkretnej metodyki, którą należy zastosować w toku przygotowywania oceny ryzyka. Instytucje obowiązane mogą korzystać między innymi z:

• (i) metod ilościowych, polegających na określeniu wartości skutku i prawdopodobieństwa materializacji danego ryzyka,
• (ii) jakościowej oceny ryzyka, która jest indywidualną oceną opartą między innymi na dobrych praktykach i doświadczeniu, a także
• (iii) metod mieszanych, wykorzystujących elementy metod jakościowych i ilościowych.

Opis metodyki powinien stanowić jeden z elementów oceny ryzyka. UKNF oczekuje jednak, że minimalny standard metodyki będzie obejmował 4 elementy:

• ocenę ryzyka inherentnego, tj. ryzyka istniejącego przy braku działań podejmowanych w celu zmniejszenia prawdopodobieństwa wystąpienia ryzyka lub ograniczenia jego skutków, dla każdego czynnika ryzyka wymienionego w art. 27 ust. 1 ustawy AML,
• identyfikację czynników ograniczających ryzyko oraz ocenę ich skuteczności,
• ocenę ryzyka rezydualnego, tj. ryzyka pozostającego po wdrożeniu procedur kontroli ryzyka, czynników ograniczających ryzyko oraz ocenie ich skuteczności,
• działania planowane przez instytucję obowiązaną w celu zarządzania ryzykiem rezydualnym (jeżeli są planowane).

Po ocenie ryzyk inherentnych i rezydualnych związanych z każdym czynnikiem ryzyka instytucja obowiązana powinna określić ostateczną podatność podmiotu na ryzyka prania pieniędzy i finansowania terroryzmu. Jeżeli wynik oceny ryzyka prowadzi do identyfikacji obszarów wymagających korekty lub poziom ryzyka rezydualnego przekracza apetyt na ryzyko podmiotu, instytucja obowiązana powinna wskazać działania, które podejmie w celu usunięcia zidentyfikowanych braków lub obniżenia ryzyka do akceptowalnego poziomu. Ponadto instytucja obowiązana powinna opracować harmonogram oraz wskazać podmiot odpowiedzialny za wdrożenie planowanych działań i ująć to w ocenie ryzyka.

Dokumentowanie analizy ryzyka

Zgodnie z art. 27 ust. 3 ustawy AML ocena ryzyka powinna zostać sporządzona w formie papierowej lub elektronicznej. Analiza ryzyka powinna być aktualizowana:

• (i) nie rzadziej niż co 2 lata,
• (ii) w przypadku zmian czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostarczania albo dokumentów,
• (iii) UKNF sugeruje, aby aktualizacja oceny ryzyka była dokonywana w przypadku istotnych i długotrwałych zmian w otoczeniu gospodarczym, które mogą mieć znaczący wpływ na działalność operacyjną instytucji obowiązanej oraz sposób wykorzystywania jej produktów i usług.

Przy każdej aktualizacji analizy ryzyka instytucja powinna jednocześnie ocenić aktualność i adekwatność metodyki zastosowanej do opracowania oceny ryzyka oraz realizację działań podjętych przez instytucję obowiązaną w celu zarządzania ryzykiem rezydualnym zidentyfikowanym w ocenie ryzyka. Ustawa AML nie określa, jak często powinny być przeprowadzane indywidualne oceny ryzyka klienta – decyzja pozostawiona jest uznaniu instytucji obowiązanej. Dla sektora usług płatniczych UKNF wydał wskazówki, zgodnie z którymi, biorąc pod uwagę praktykę rynkową, zasadne jest przyjęcie, że okresowy przegląd oceny ryzyka powinien odbywać się dla klientów sklasyfikowanych jako: – niskie ryzyko – nie rzadziej niż co 4 do 5 lat, – standardowe ryzyko – nie rzadziej niż co 2-3 lata, – wysokie ryzyko – co najmniej raz w roku.

Walidacja oceny ryzyka

Zgodnie z art. 7 polskiej ustawy AML w instytucji obowiązanej wyznacza się osobę spośród członków zarządu odpowiedzialną za wdrożenie obowiązków określonych w ustawie. W związku z tym osoba wyznaczona na tej podstawie powinna każdorazowo zatwierdzać ocenę ryzyka oraz jej aktualizację. Ocena ryzyka powinna zostać przedstawiona zarządowi oraz radzie nadzorczej instytucji obowiązanej, jeżeli taka istnieje, ponieważ jest to dokument zawierający aktualne informacje o ekspozycji instytucji na ryzyko, zidentyfikowanych zagrożeniach i lukach w procesie AML oraz planowanych działaniach w zakresie zarządzania ryzykiem rezydualnym. UKNF zwraca szczególną uwagę na to, aby ocena ryzyka i jej aktualizacje były zatwierdzane przez zarząd oraz radę nadzorczą, gdy:

• poziom ryzyka instytucji obowiązanej zostanie określony jako wysoki,
• poziom ryzyka odbiega od apetytu na ryzyko instytucji,
• planowane są działania na dużą skalę w celu skutecznego zarządzania ryzykiem rezydualnym.

Najczęstsze błędy

Doświadczenia z kontroli prowadzonych przez UKNF wskazują, że do najczęstszych błędów popełnianych przez instytucje obowiązane należały:

• pominięcie określonych czynników ryzyka,
• brak wskazania końcowych wniosków z oceny ryzyka,
• brak harmonogramu planowanych działań instytucji obowiązanej mających na celu ograniczenie ryzyka lub nieuzasadnione terminy ujęte w harmonogramie działań,
• niezrozumienie różnicy między ryzykiem inherentnym a rezydualnym,
• niewłaściwy dobór metodyk, które nie uwzględniają czynników ryzyka istotnych z punktu widzenia instytucji obowiązanej lub które
• definiują podatność na ryzyko w sposób nieadekwatny do skali i rodzaju działalności.

Konsekwencje niesporządzenia oceny ryzyka lub jej nieaktualizowania

Niesporządzenie przez instytucję obowiązaną oceny ryzyka oraz jej aktualizacji podlega odpowiedzialności administracyjnej i prawnej oraz jest zagrożone administracyjną karą, w tym karą pieniężną.

AML officer w Polsce (AMLO i MLRO)

Polska ustawa AML wprowadza obowiązek wyznaczenia przez instytucję obowiązaną osoby odpowiedzialnej za AML i finansowanie terroryzmu. Osoba taka powinna mieć status kierowniczy i będzie odpowiedzialna za zapewnienie zgodności całej instytucji z przepisami polskiej ustawy AML, a ponadto za zgłaszanie zawiadomień, o których mowa w tej ustawie, do jednostek analityki finansowej. Naruszenie obowiązku powołania AML officera podlega karom administracyjnym nakładanym na instytucję obowiązaną.

AMLO Officer – obowiązki

Co do zasady AMLRO, na podstawie art. 8 ustawy AML, odpowiada za:

• zapewnienie zgodności działalności instytucji obowiązanej oraz jej pracowników i innych osób wykonujących czynności na rzecz tej instytucji obowiązanej z przepisami o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (wykonywanie zadań gwaranta bezpieczeństwa),
• składanie w imieniu instytucji obowiązanej zawiadomień, o których mowa w art. 74 ust. 1 ustawy AML (zawiadomienie GIIF o okolicznościach mogących wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu), art. 86 ust. 1 ustawy AML (zawiadomienie GIIF w przypadku uzasadnionego podejrzenia, że konkretna transakcja lub określone wartości majątkowe mogą mieć związek z praniem pieniędzy lub finansowaniem terroryzmu), art. 89 ust. 1 ustawy AML (zawiadomienie właściwego prokuratora w przypadku uzasadnionego podejrzenia, że wartości majątkowe będące przedmiotem transakcji lub zgromadzone na rachunku pochodzą z przestępstwa innego niż pranie pieniędzy lub finansowanie terroryzmu albo przestępstwa skarbowego, lub mają związek z przestępstwem innym niż pranie pieniędzy lub finansowanie terroryzmu albo przestępstwem skarbowym), oraz art. 90 ustawy AML (zawiadomienie GIIF o transakcji podejrzanej w sytuacji, gdy instytucja obowiązana nie miała możliwości uprzedniego zawiadomienia o transakcji przed jej wykonaniem).

W zależności od konkretnych rynków obowiązki AMLRO mogą zostać doprecyzowane. Na przykład instytucje obowiązane podlegające nadzorowi KNF powinny stosować stanowisko UKNF w sprawie AMLRO z dnia 01.12.2022 r. (dostępne pod linkiem: https://www.knf.gov.pl/knf/pl/komponenty/img/Stanowisko_UKNF_AMLRO_80468.pdf). Wspomniane stanowisko wskazuje, że AMLRO powinien:

• opracować i wdrożyć ramy oceny ryzyka prania pieniędzy i finansowania terroryzmu obejmujące całą działalność nadzorowanego podmiotu oraz przedstawić wyniki tej oceny wraz z mechanizmami ograniczania ryzyka zarządowi lub wyższemu rangą kierownikowi odpowiedzialnemu za przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu,
• zapewnić funkcjonowanie odpowiednich polityk (strategii) i procedur AML/CFT, utrzymywać je w aktualności oraz skutecznie je wdrażać z odpowiednimi mechanizmami kontroli, a także zapewnić ich regularny przegląd i aktualizację w razie potrzeby oraz przedstawiać propozycje dostosowania polityk i procedur do zmian regulacyjnych lub zmian ryzyk ML/FT nadzorowanego podmiotu,
• w ramach funkcji drugiej linii obrony – odpowiadać za monitorowanie, czy polityki, mechanizmy kontrolne i procedury wdrożone przez nadzorowany podmiot są zgodne z ciążącymi na nim obowiązkami AML/CFT,
• nadzorować skuteczne stosowanie mechanizmów kontroli przez linie biznesowe (pierwsza linia obrony),
• zapewnić aktualizację elementów procesu AML/CFT,
• rekomendować organowi zarządzającemu odpowiednie działania naprawcze w celu usunięcia nieprawidłowości w procesie AML/CFT, w tym zidentyfikowanych przez organy informacji finansowej i nadzoru oraz audyt,
• informować organ zarządzający, jakie środki należy podjąć w celu zapewnienia zgodności z przepisami prawa, zasadami, regulacjami i standardami, oraz oceniać możliwy wpływ ewentualnych zmian w otoczeniu prawnym na działalność nadzorowanego podmiotu i jego zgodność z prawem,
• wskazywać członkowi organu zarządzającego lub członkowi wyższej kadry kierowniczej odpowiedzialnemu za AML/CFT w szczególności:
  • obszary wymagające wdrożenia nowych mechanizmów kontroli lub poprawy istniejących,
  • raportować postęp istotnych programów naprawczych co najmniej raz w roku w ramach rocznego sprawozdania z działalności oraz doraźnie lub okresowo,
  • adekwatność zasobów ludzkich i technicznych przydzielonych jednostce AML/CFT,
• przygotowywać kompleksowy raport ze swojej działalności co najmniej raz w roku, niezależnie od okresowych i ad hoc raportów zarządczych,
• w zakresie obowiązku raportowania informacji o transakcjach (w tym podejrzanych) do organu informacji finansowej – zapewnić, aby inni pracownicy, z których pomocy korzysta przy wykonywaniu zadań związanych ze swoją funkcją, posiadali odpowiednią wiedzę i doświadczenie oraz uwzględniali obowiązek zachowania tajemnicy, ochrony danych i inne ograniczenia, które mogą mieć znaczenie dla wymiany informacji,
• zapewnić, aby mechanizmy kontroli umożliwiały nadzorowanemu podmiotowi przestrzeganie wytycznych wydawanych przez organy informacji finansowej i nadzoru
• w zakresie realizacji obowiązków szkoleniowych i budowania świadomości personelu:
  • należycie informować personel o ryzykach ML/FT, na które narażony jest nadzorowany podmiot, w tym o metodach, trendach i typologiach prania pieniędzy oraz finansowania terroryzmu, a także o podejściu opartym na ryzyku,
  • nadzorować przygotowanie i realizację programu szkoleniowego,
  • zapewnić, aby szkolenia były zróżnicowane i dostosowane do profilu oraz poziomu ryzyka ML/FT w odniesieniu do konkretnej grupy pracowników,
  • zapewnić, aby szkolenia miały odpowiednią jakość i były aktualne oraz aby stopień opanowania wiedzy,

• zapewnić, aby program szkoleniowy zagranicznej spółki dominującej był dostosowany do ustawodawstwa krajowego, a także do typologii prania pieniędzy i finansowania terroryzmu oraz specyfiki działalności danego nadzorowanego podmiotu.

Czy zajmowanie stanowiska kierowniczego jest tym samym co bycie członkiem zarządu?

Nie. Należy wyraźnie odróżnić pojęcie stanowiska kierowniczego od członka zarządu, które jest pojęciem kwalifikowanym w stosunku do AML officera. Przepisy AML nakładają obowiązek wyznaczenia z jednej strony AMLO (stanowisko kierownicze – na podstawie art. 8 ustawy AML), a z drugiej strony członka zarządu odpowiedzialnego za wdrożenie ustawowych obowiązków w instytucji obowiązanej (osoba wybrana spośród organu zarządzającego – na podstawie art. 7 ustawy AML). Celem takiego rozwiązania jest zapewnienie AML officerowi odpowiedniego kanału raportowania do osób odpowiedzialnych za zarządzanie instytucją obowiązaną, a także odpowiedniej niezależności w wykonywaniu powierzonych mu zadań. Podobnie jak w przypadku AMLRO, instytucje obowiązane podlegające nadzorowi UKNF powinny stosować jego stanowisko w sprawie AMLRO z dnia 01.12.2022 r., które zawiera rekomendacje, zgodnie z którymi osoba wyznaczona spośród zarządu na podstawie art. 7 ustawy AML powinna odpowiadać za:

• zapewnienie, aby zarząd był świadomy wpływu ryzyk ML/FT na profil ryzyka całej działalności Spółki,
• zapewnienie adekwatności i proporcjonalności polityk (strategii), procedur AML/CFT oraz systemu kontroli wewnętrznej, z uwzględnieniem specyfiki działalności Spółki oraz ryzyk ML/TF,
• zapewnienie, aby AMLRO składał zarządowi, w sposób regularny i terminowy, kompleksowe raporty dotyczące ryzyk ML/FT i zgodności AML/CFT niezbędne dla procesu decyzyjnego zarządu,
• zapewnienie, aby AMLRO miał bezpośredni dostęp do informacji niezbędnych do wykonywania swoich zadań, w tym informacji o incydentach i nieprawidłowościach AML/CFT w skali całej Spółki oraz o brakach zidentyfikowanych przez system kontroli wewnętrznej i krajowe organy nadzoru, a także aby posiadał wystarczające zasoby ludzkie i techniczne oraz narzędzia umożliwiające mu należyte wykonywanie zadań,
• pełnienie funkcji punktu kontaktowego dla AMLRO,
• zapewnienie, aby organy Spółki odpowiednio reagowały na wnioski AMLRO, w tym na poziomie zarządu w przypadku istotnych incydentów AML/CFT.

Odpowiedzialność karna i administracyjna AML Officera

Naruszenie obowiązków AML Officera (wskazanych w art. 147 i 148 polskiej ustawy AML) zagrożone jest karą pieniężną do 1 000 000 euro (odpowiedzialność administracyjna). AML Officer podlega grzywnie albo karze pozbawienia wolności od 3 miesięcy do 5 lat za:

• (i) niezawiadomienie Generalnego Inspektora o okolicznościach mogących wskazywać na podejrzenie popełnienia prania pieniędzy lub finansowania terroryzmu, lub niezawiadomienie Generalnego Inspektora o uzasadnionym podejrzeniu, że określona transakcja lub wartości majątkowe będące przedmiotem tej transakcji mogą mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, lub
• (ii) przekazanie Generalnemu Inspektorowi nieprawdziwych lub zatajonych danych dotyczących transakcji, rachunków lub osób. W przypadku czynu nieumyślnego podlega grzywnie.

Czy powołanie AML officera jest obowiązkowe na gruncie polskiego prawa?

Tak. Zgodnie z polską ustawą AML (art. 147) instytucja obowiązana, która nie wyznaczy osoby odpowiedzialnej za AML i finansowanie terroryzmu, popełnia delikt administracyjny i podlega karze administracyjnej, tj.:

• publikacji informacji o instytucji obowiązanej oraz zakresie naruszenia ustawy przez tę instytucję w Biuletynie Informacji Publicznej na stronie internetowej urzędu obsługującego ministra właściwego do spraw finansów publicznych,
• nakazowi zaprzestania przez instytucję obowiązaną podejmowania określonych czynności,
• cofnięciu koncesji lub zezwolenia albo wykreśleniu z rejestru działalności regulowanej,
• zakazowi pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie ustawy przez instytucję obowiązaną przez okres nie dłuższy niż rok,
• karze pieniężnej.

Kim jest osoba zajmująca eksponowane stanowisko polityczne (PEP) w Polsce?

Zgodnie z polską ustawą AML osoby zajmujące eksponowane stanowiska polityczne (PEP) definiuje się jako osoby fizyczne pełniące znaczące funkcje publiczne lub zajmujące znaczące stanowiska publiczne. Krąg PEP nie obejmuje osób zajmujących stanowiska średniego i niższego szczebla. Szczegółowy katalog PEP znajduje się w art. 2 ust. 2 pkt 11 ustawy AML. Należy zauważyć, że jest to katalog otwarty. Jeżeli instytucja obowiązana ustali, że jej klient lub beneficjent rzeczywisty klienta jest PEP, po jej stronie powstają dodatkowe obowiązki w zakresie stosowanych środków bezpieczeństwa finansowego. Co istotne, polskie prawo nie zakazuje świadczenia usług klientom posiadającym status PEP.

Procedury AML dla PEP

Definicja PEP powinna mieć zastosowanie zarówno do osoby, która obecnie pełni znaczącą funkcję publiczną, jak i do osoby, która pełniła ją w przeszłości. W okresie od dnia, w którym osoba przestaje zajmować eksponowane stanowisko polityczne, do dnia, w którym zostanie ustalone, że z daną osobą nie wiąże się już wyższe ryzyko, jednak nie krócej niż przez 12 miesięcy, instytucja obowiązana stosuje wobec takiej osoby środki uwzględniające to ryzyko. Podstawowym obowiązkiem każdej instytucji obowiązanej w relacji z PEP jest ustalenie, czy klient lub beneficjent rzeczywisty jest PEP. Najprostszą metodą stosowaną przez większość instytucji obowiązanych jest pozyskiwanie od klientów oświadczeń dotyczących ich statusu. Zaleca się, aby oświadczenia zawierały postanowienie potwierdzające świadomość klienta co do odpowiedzialności karnej za złożenie fałszywego oświadczenia. Inne sposoby weryfikacji klientów/beneficjentów rzeczywistych w kontekście ich statusu obejmują analizę baz danych udostępnianych przez podmioty komercyjne, badanie publicznie dostępnych rejestrów i informacji. Po drugie, instytucje obowiązane muszą uzyskać zgodę wyższej kadry kierowniczej na nawiązanie lub kontynuowanie stosunków gospodarczych z osobą zajmującą eksponowane stanowisko polityczne. Należy zadbać o udokumentowanie takiej zgody. Kolejnym działaniem jest ustalenie (i) źródła majątku klienta oraz (ii) źródła wartości majątkowych pozostających do dyspozycji klienta w toku stosunków gospodarczych lub transakcji. W odniesieniu do źródeł majątku klienta instytucja obowiązana powinna opierać się na publicznie dostępnych źródłach informacji (oświadczenia majątkowe składane przez PEP), informacjach z komercyjnych baz danych i innych źródeł (jeżeli ma do nich dostęp, a skala działalności instytucji obowiązanej na to pozwala) lub informacjach uzyskanych od samego klienta. W odniesieniu do PEP konieczne jest również zintensyfikowanie bieżącego monitorowania stosunków gospodarczych polegającego na:

• analizie transakcji przeprowadzanych w toku stosunków gospodarczych w celu zapewnienia, że transakcje są zgodne z wiedzą instytucji obowiązanej o kliencie, charakterze i zakresie działalności klienta oraz zgodne z ryzykiem prania pieniędzy i finansowania terroryzmu związanym z tym klientem,
• badaniu źródła pochodzenia wartości majątkowych pozostających do dyspozycji klienta – w przypadkach uzasadnionych okolicznościami,
• zapewnieniu, aby dokumenty, dane lub informacje posiadane na temat stosunków gospodarczych były aktualne.

Członkowie rodziny i osoby znane jako bliscy współpracownicy PEP

Instytucja obowiązana stosuje również powyższe obowiązki do osób będących członkami rodziny osoby posiadającej status PEP lub osób znanych jako bliscy współpracownicy osoby posiadającej status PEP. Członek rodziny PEP oznacza:

• małżonka lub osobę pozostającą we wspólnym pożyciu z osobą zajmującą eksponowane stanowisko polityczne,
• dziecko osoby zajmującej eksponowane stanowisko polityczne oraz jego małżonka lub osobę pozostającą we wspólnym pożyciu,
• rodziców osoby zajmującej eksponowane stanowisko polityczne.

Natomiast osoby znane jako bliscy współpracownicy PEP to:

• osoby fizyczne będące beneficjentami rzeczywistymi osób prawnych, jednostek organizacyjnych nieposiadających osobowości prawnej lub trustów wspólnie z osobą zajmującą eksponowane stanowisko polityczne albo utrzymujące z taką osobą inne bliskie stosunki gospodarcze,
• osoby fizyczne będące jedynym beneficjentem rzeczywistym osoby prawnej, jednostki organizacyjnej nieposiadającej osobowości prawnej lub trustu, o których wiadomo, że zostały utworzone w celu uzyskania rzeczywistej korzyści przez osobę zajmującą eksponowane stanowisko polityczne.

 Weryfikacja UBO w Polsce

W wyniku nowelizacji ustawy AML/CFT wprowadzonej w Polsce w 2021 r. instytucje obowiązane (takie jak banki, instytucje finansowe, małe instytucje płatnicze, krajowe instytucje płatnicze, przedsiębiorcy oferujący usługi wymiany walut, instytucje pożyczkowe lub podmioty prowadzące działalność w zakresie walut wirtualnych) są zobowiązane zarówno do identyfikacji, jak i weryfikacji beneficjentów rzeczywistych swoich klientów. Ponadto od 2021 r. instytucje obowiązane muszą wdrożyć procedury odnotowywania rozbieżności między informacjami zgromadzonymi w Centralnym Rejestrze Beneficjentów Rzeczywistych a ustalonymi informacjami o beneficjencie rzeczywistym klienta oraz zaplanować system podejmowania działań mających na celu wyjaśnienie przyczyn tych rozbieżności.

Proces pełnej weryfikacji beneficjenta rzeczywistego

Zgodnie z art. 61a ust. 1 polskiej ustawy AML instytucja obowiązana jest zobowiązana do podjęcia następujących kroków w celu prawidłowej weryfikacji beneficjenta rzeczywistego (dalej również: „UBO” swojego klienta:

• zidentyfikować beneficjenta rzeczywistego (imię i nazwisko; obywatelstwo; numer PESEL – albo w przypadku jego braku, datę i kraj urodzenia; serię i numer dokumentu tożsamości; adres zamieszkania;
• podjąć czynności w celu ustalenia struktury własności i kontroli – w przypadku klienta będącego osobą prawną, jednostką organizacyjną nieposiadającą osobowości prawnej lub trustem (w szczególności poprosić klienta o szczegółowy opis takiej struktury oraz o przekazanie instytucji obowiązanej dokumentacji z procesu rejestracji spółki – na przykład umowy spółki,
• zidentyfikować i odnotować rozbieżności między informacjami zgromadzonymi w CRBR a ustalonymi informacjami o beneficjencie rzeczywistym klienta (procedura wewnętrzna instytucji obowiązanej powinna zawierać zasady odnotowywania rozbieżności),
• podjąć działania w celu wyjaśnienia przyczyn rozbieżności – zgodnie z najnowszymi rekomendacjami GIIF zaleca się kontakt z klientem w celu (i) wyjaśnienia sposobu, w jaki klient ustalił beneficjenta rzeczywistego, (ii) wyjaśnienia sposobu, w jaki klient ustalił strukturę własności i kontroli, wyjaśnienia, czy sposób ustalenia przez instytucję obowiązaną beneficjenta rzeczywistego oraz struktury własności i kontroli klienta był prawidłowy, (iii) wyjaśnienia przyczyny, dla której klient uznał daną osobę za beneficjenta rzeczywistego, (iv) zebrania nowych informacji i dokumentów,
• potwierdzić odnotowane rozbieżności – tj. na przykład (i) potwierdzić, że instytucja obowiązana nie popełniła błędu przy ustalaniu beneficjenta rzeczywistego oraz struktury własności i kontroli klienta, (ii) potwierdzić, w możliwym zakresie, że informacje o beneficjencie rzeczywistym w CRBR nie są prawidłowe, (iii) potwierdzić przyczyny rozbieżności, (iv) ustalić, czy rozbieżność jest pozorna czy rzeczywista,
• przygotować uzasadnienie rozbieżności – – w tym zakresie Generalny Inspektor Informacji Finansowej wskazuje, że polska instytucja obowiązana powinna: (i) wskazać i udokumentować, jakie działania podjęła w celu identyfikacji i weryfikacji beneficjenta rzeczywistego oraz struktury własności i kontroli klienta, (ii) jakie informacje i dokumenty stanowiły podstawę ustalenia przez instytucję beneficjenta rzeczywistego klienta oraz struktury własności i kontroli klienta, (iii) jakie informacje lub dokumenty stanowiły podstawę rozbieżności, (iv) jakie działania instytucja podjęła w celu potwierdzenia odnotowanych rozbieżności, (v) jakie informacje instytucja otrzymała w toku potwierdzania odnotowanych rozbieżności, (vi) jakie wnioski wyciągnięto z analizy zebranych informacji i dokumentów, (vii) przyczyny, dla których instytucja obowiązana uznała, że rozbieżność ma charakter faktyczny,
• przekazać właściwemu organowi zweryfikowane informacje o tych rozbieżnościach wraz z uzasadnieniem i dokumentacją dotyczącą odnotowanych rozbieżności wraz z uzasadnieniem (komunikacja z GIIF odbywa się w formie elektronicznej).

Praktyczne uwagi GIIF dotyczące weryfikacji UBO

GIIF zwraca uwagę na następujące kwestie:

• brak zgłoszenia informacji o beneficjencie rzeczywistym do CRBR stanowi rozbieżność,
• odnotowywanie rozbieżności nie może polegać wyłącznie na prostym i mechanicznym porównaniu informacji zgromadzonych w CRBR z odpisem KRS klienta – instytucja obowiązana powinna weryfikować inne dokumenty – na przykład umowę spółki lub umowę przeniesienia udziałów w spółce,
• instytucje obowiązane nie są zobowiązane do porównywania informacji o osobach uprawnionych z mocy prawa, które dokonały zgłoszenia do CRBR, z danymi osób wchodzących w skład organu uprawnionego do reprezentowania podmiotu (wskazanych w odpisie z Krajowego Rejestru Sądowego),
• instytucje obowiązane nie powinny przekazywać właściwemu organowi:
  • niezweryfikowanych informacji o rozbieżnościach,
  • informacji bez uzasadnienia lub z pobieżnym wyjaśnieniem,
  • informacji o możliwych drobnych literówkach w CRBR (na przykład oczywistej literówce w imieniu beneficjenta),
  • informacji o możliwych nieścisłościach w odpisie KRS klienta (na przykład nieistotnym błędzie w wartości udziałów klienta),
  • informacji o braku zgłoszenia informacji w CRBR przez podmioty niezobowiązane do dokonywania takich zgłoszeń (na przykład stowarzyszenie zwykłe),
  • informacji o nieścisłościach, które nie wpływają na ustalenie rzeczywistego beneficjenta (na przykład brak podania drugiego imienia beneficjenta).

Brak odpowiednich polityk wewnętrznych dotyczących weryfikacji UBO – skutki

Od 2021 r. każda instytucja obowiązana musi wprowadzić w swojej wewnętrznej procedurze AML i finansowania terroryzmu zasady odnotowywania rozbieżności między informacjami zgromadzonymi w Centralnym Rejestrze Beneficjentów Rzeczywistych a informacjami o beneficjentach rzeczywistych klienta ustalonymi w związku ze stosowaniem ustawy. Obowiązek taki nakłada na podmiot art. 50 ust. 1 pkt 10 ustawy AML. Procedura taka powinna zostać zatwierdzona przez zarząd (wyższą kadrę kierowniczą) instytucji obowiązanej przed jej wejściem w życie.

Kary za brak kompletnej procedury AML

Kara pieniężna	kara pieniężna (której wysokość różni się w zależności od instytucji obowiązanej) do 5 000 000 EUR albo do 10% obrotu wykazanego w ostatnim zatwierdzonym sprawozdaniu finansowym za rok obrotowy
Zakaz dla kadry zarządzającej	zakaz pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie ustawy przez instytucję obowiązaną przez okres nie dłuższy niż jeden rok
Cofnięcie licencji	cofnięcie licencji lub zezwolenia albo wykreślenie z rejestru działalności regulowanej
Publiczne ogłoszenie	publikacja informacji o instytucji obowiązanej oraz zakresie naruszenia ustawy przez tę instytucję w Biuletynie Informacji Publicznej na stronie internetowej urzędu obsługującego ministra właściwego do spraw finansów publicznych
Nakaz ograniczenia działalności	nakaz zaprzestania wykonywania określonych czynności przez instytucję obowiązaną

Odpowiedzialność instytucji obowiązanej za naruszenie ustawy AML w Polsce

Jeżeli instytucja obowiązana nie wykonuje obowiązków wynikających z ustawy AML, może podlegać karze administracyjnej. Należy zauważyć, że potencjalna kara grozi nie tylko samej instytucji obowiązanej, lecz także członkom jej zarządu, wyższej kadrze kierowniczej (zgodnie z definicją z art. 6 ustawy AML), jak również pracownikom na stanowiskach kierowniczych, których obowiązki obejmują zapewnienie zgodności działalności instytucji obowiązanej oraz jej pracowników i innych osób wykonujących czynności na rzecz instytucji obowiązanej z przepisami ustawy (art. 8 ustawy AML). Podstawy do nałożenia kary administracyjnej zostały szczegółowo określone w art. 147 – 149 ustawy AML, a najczęstsze obejmują:

• niesporządzenie oceny ryzyka prania pieniędzy i finansowania terroryzmu odnoszącego się do działalności instytucji obowiązanej oraz brak jej aktualizacji, która powinna być sporządzana co najmniej co 2 lata,
• niestosowanie środków bezpieczeństwa finansowego, w tym między innymi brak rozpoznania przez instytucję obowiązaną ryzyka prania pieniędzy i finansowania terroryzmu w odniesieniu do stosunków gospodarczych, instytucji obowiązanej lub transakcji okazjonalnych,
• niewdrożenie wewnętrznej procedury anonimowego zgłaszania naruszeń w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu,
• brak przekazania zawiadomień o podejrzeniu prania pieniędzy lub finansowania terroryzmu (zgłoszenia SAR),
• niewykonanie obowiązków informacyjnych.

Kary administracyjne są nakładane w drodze decyzji przez Generalnego Inspektora Informacji Finansowej, Prezesa Narodowego Banku Polskiego oraz Komisję Nadzoru Finansowego. Nakładając karę, właściwy organ bierze pod uwagę czynniki wpływające na wymiar kary, w tym wagę i czas trwania naruszenia, możliwości finansowe instytucji obowiązanej, skalę korzyści uzyskanych przez podmiot, straty poniesione przez osoby trzecie w związku z naruszeniem, stopień współpracy instytucji obowiązanej z właściwymi organami w sprawach przeciwdziałania praniu pieniędzy, a także to, czy podmiot wcześniej dopuścił się naruszenia przepisów ustawy AML.

Katalog kar administracyjnych za naruszenia AML w Polsce

Publiczne ogłoszenie	publikacja informacji o instytucji obowiązanej oraz zakresie naruszenia ustawy przez tę instytucję w Biuletynie Informacji Publicznej na stronie internetowej urzędu obsługującego ministra właściwego do spraw finansów publicznych (co wiąże się z ryzykiem utraty reputacji przez instytucję obowiązaną, a to z kolei może negatywnie wpłynąć na jej pozycję na rynku)
Nakaz ograniczenia działalności	nakaz zaprzestania podejmowania określonych czynności przez instytucję obowiązaną
Cofnięcie licencji	cofnięcie koncesji lub zezwolenia albo wykreślenie z rejestru działalności regulowanej
Zakaz dla osób fizycznych	zakaz pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie ustawy przez instytucję obowiązaną przez okres nieprzekraczający jednego roku
Kara pieniężna	(do dwukrotności kwoty uzyskanej korzyści lub unikniętej straty, przy czym maksymalna kara pieniężna wynosi 1 000 000 EUR). W przypadku instytucji obowiązanych będących bankami, instytucjami kredytowymi, spółdzielczymi kasami oszczędnościowo-kredytowymi, krajowymi instytucjami płatniczymi, małymi instytucjami płatniczymi, firmami inwestycyjnymi i innymi podmiotami, o których mowa w art. 2 ust. 1 pkt 1-5, 7-11, 24 i 25 ustawy AML, kara pieniężna jest wyższa i wynosi odpowiednio do 5 000 000 EUR (albo do 10% obrotu wykazanego w ostatnim zatwierdzonym sprawozdaniu finansowym) dla osób prawnych oraz do 20 868 500 PLN dla osób fizycznych.

W uzasadnionych przypadkach, gdy (i) waga naruszenia jest znikoma, a instytucja obowiązana zaprzestała naruszenia, lub (ii) inny uprawniony organ administracji publicznej nałożył już karę na instytucję obowiązaną za to samo zachowanie albo instytucja obowiązana została prawomocnie ukarana za wykroczenie lub wykroczenie skarbowe albo prawomocnie skazana za przestępstwo lub przestępstwo skarbowe, a poprzednia kara spełnia cele, dla których miała zostać nałożona kara administracyjna, powyższe organy mogą odstąpić od nałożenia takiej kary administracyjnej. Następuje to w drodze decyzji i jest uprawnieniem, a nie obowiązkiem organu. Szczególną uwagę należy zwrócić na obowiązek spółek handlowych zgłaszania informacji o beneficjentach rzeczywistych oraz aktualizacji takich informacji w terminie 7 dni od dnia wpisu do Krajowego Rejestru Sądowego lub zmiany danych. Kara pieniężna w tym przypadku wynosi do 1 000 000 PLN. Na gruncie polskiej ustawy AML beneficjent rzeczywisty, który nie przekaże instytucji obowiązanej wszystkich informacji i dokumentów niezbędnych do zgłoszenia/aktualizacji w CRBR, podlega karze pieniężnej do 50 000 PLN. Nowe przepisy ustawy AML przewidują również karę pieniężną do 100 000 PLN dla podmiotów (i) prowadzących działalność na rzecz spółek lub trustów bez uzyskania odpowiedniego wpisu do rejestru takiej działalności oraz (ii) prowadzących działalność w zakresie walut wirtualnych bez uprzedniego uzyskania wpisu do właściwego rejestru. Polskie prawo dopuszcza nakładanie kar na osoby pełniące funkcje kierownicze w instytucjach obowiązanych, tj. członków wyższej kadry kierowniczej (art. 6 UAML), osobę odpowiedzialną za wdrożenie obowiązków określonych w ustawie (art. 7 ustawy AML) oraz pracownika odpowiedzialnego za nadzorowanie zgodności instytucji obowiązanej z przepisami (art. 8 ustawy AML). Powyższe osoby mogą zostać ukarane karą pieniężną do 1 000 000 PLN, jeżeli instytucja obowiązana, którą zarządzają, dopuści się naruszenia obowiązków określonych w art. 147 i 148 ustawy AML.

KYC w Polsce – EDD i CDD

Co do zasady Polska wprowadziła obowiązek stosowania środków bezpieczeństwa finansowego wobec klientów instytucji. Polska ustawa AML przewiduje, że zakres i intensywność środków bezpieczeństwa finansowego powinny być dostosowane przez instytucję obowiązaną do zidentyfikowanego ryzyka prania pieniędzy lub finansowania terroryzmu. Oznacza to, że instytucje obowiązane zawsze stosują wszystkie podstawowe środki bezpieczeństwa finansowego i, w zależności od zidentyfikowanego ryzyka, dostosowują ich intensywność, tj. stosują uproszczone lub wzmożone środki bezpieczeństwa finansowego.

Standardowe środki bezpieczeństwa finansowego

Zgodnie z art. 33 polskiej ustawy AML podstawowe środki bezpieczeństwa finansowego obejmują:

• identyfikację klienta i weryfikację tożsamości klienta;
• identyfikację beneficjenta rzeczywistego oraz podjęcie racjonalnych czynności w celu:
  • weryfikacji jego tożsamości,
  • ustalenia struktury własności i kontroli – w przypadku klienta będącego osobą prawną, jednostką organizacyjną nieposiadającą osobowości prawnej lub trustem,
• ocenę stosunków gospodarczych oraz, stosownie do potrzeb, uzyskanie informacji o ich celu i zamierzonym charakterze,
• bieżące monitorowanie stosunków gospodarczych klienta, w tym:
  • analizę transakcji przeprowadzanych w toku stosunków gospodarczych w celu zapewnienia, że transakcje są zgodne z
  • wiedzą instytucji obowiązanej o kliencie, charakterze i zakresie działalności klienta oraz zgodne z ryzykiem prania pieniędzy i finansowania terroryzmu
  • związanym z tym klientem,
  • badanie źródła pochodzenia wartości majątkowych pozostających do dyspozycji klienta – w przypadkach uzasadnionych okolicznościami,
  • zapewnienie, aby dokumenty, dane lub informacje dotyczące stosunków gospodarczych były aktualne.

Instytucja obowiązana, na podstawie oceny ryzyka klienta, może stosować uproszczone lub wzmożone środki bezpieczeństwa finansowego zgodnie z zasadą podejścia opartego na ryzyku.

Uproszczone środki bezpieczeństwa finansowego due diligence

Na podstawie oceny ryzyka danego klienta instytucje obowiązane mogą stosować uproszczone środki należytej staranności (SDD). Należy mieć świadomość, że stosowanie SDD jest uprawnieniem instytucji, a w żadnym przypadku obowiązkiem. Dlatego nawet gdy instytucja obowiązana zidentyfikuje niższe ryzyko prania pieniędzy lub finansowania terroryzmu, nadal może stosować pełny zakres środków finansowych.

Katalog SDD

W polskiej ustawie AML ani w regulacjach UE nie ma katalogu SDD. Podstawowe przykłady SDD zostały wskazane przez FATF w Rekomendacji 10:

• zmniejszenie częstotliwości aktualizacji identyfikacji klienta,
• zmniejszenie stopnia bieżącego monitorowania i kontroli transakcji, w oparciu o rozsądny próg pieniężny.

Rozszerzone przykłady SDD można znaleźć w Wytycznych na podstawie art. 17 i 18 ust. 4 dyrektywy (UE) 2015/849 dotyczących środków należytej staranności wobec klienta oraz czynników, które instytucje kredytowe i finansowe powinny brać pod uwagę przy ocenie ryzyka ML/TF związanego z indywidualnymi stosunkami gospodarczymi i transakcjami okazjonalnymi („Wytyczne dotyczące czynników ryzyka ML/TF”) z dnia 1 marca 2021 r., opublikowanych przez EBA (s. 23-25), zgodnie z którymi: Uproszczone środki należytej staranności, które firmy mogą stosować, obejmują między innymi środki wymienione poniżej:

• dostosowanie momentu stosowania środków należytej staranności wobec klienta, na przykład gdy produkt lub transakcja posiada cechy ograniczające możliwość wykorzystania ich do celów prania pieniędzy lub finansowania terroryzmu, takie jak:
  • weryfikacja tożsamości klienta lub beneficjenta rzeczywistego w toku nawiązywania stosunków gospodarczych, pod warunkiem że jest to konieczne, aby nie przerywać normalnego prowadzenia działalności, a ryzyko ML/TF jest niskie; lub
• dostosowanie ilości informacji uzyskiwanych w celu identyfikacji, weryfikacji lub monitorowania, na przykład poprzez:
  • weryfikację tożsamości na podstawie informacji uzyskanych tylko z jednego rzetelnego, wiarygodnego i niezależnego dokumentu lub źródła danych, w tym, jeżeli są dostępne, za pomocą bezpiecznych zdalnych lub elektronicznych procesów identyfikacji; lub
  • przyjęcie charakteru i celu stosunków gospodarczych, ponieważ produkt jest przeznaczony do jednego konkretnego celu, jak w przypadku pracowniczego programu emerytalnego lub produktu o ściśle określonych ograniczeniach technicznych, pod warunkiem że rozumienie ryzyka przez firmę jest należycie uzasadnione,
• dostosowanie częstotliwości aktualizacji i przeglądów stosowania środków bezpieczeństwa finansowego w ramach stosunków gospodarczych, na przykład przeprowadzanie aktualizacji i przeglądów przede wszystkim w przypadku wystąpienia zdarzeń wyzwalających, tj. gdy klient ubiega się o nowy produkt lub usługę, albo gdy osiągnięty zostanie określony próg transakcyjny; firmy muszą mieć pewność, że nie prowadzi to faktycznie do odstąpienia od obowiązku aktualizacji należytej staranności wobec klienta oraz że utrzymany jest ostateczny termin okresowych przeglądów,
• dostosowanie częstotliwości i intensywności monitorowania transakcji, na przykład poprzez monitorowanie transakcji tylko powyżej określonego progu. Jeżeli firmy zdecydują się na takie rozwiązanie, muszą zapewnić, aby próg został ustalony na rozsądnym poziomie oraz aby funkcjonowały systemy umożliwiające identyfikację wzorców transakcji lub powiązanych transakcji, które łącznie przekraczałyby próg lub wskazywały na nietypowe zachowanie.

Wzmożone środki bezpieczeństwa finansowego – enhanced due diligence

W odróżnieniu od uproszczonych środków bezpieczeństwa finansowego, których stosowanie jest dobrowolne, polska ustawa AML przewiduje obowiązek stosowania wzmożonych środków należytej staranności (EDD) w przypadku:

• identyfikacji wyższego ryzyka prania pieniędzy lub finansowania terroryzmu,
• stosunków gospodarczych lub transakcji z udziałem państwa trzeciego wysokiego ryzyka,
• a także bezpośrednio w przypadkach wskazanych w art. 44-46 ustawy AML.

Istotą EDD jest to, że oprócz standardowych środków bezpieczeństwa finansowego instytucja obowiązana musi stosować również EDD. Tym samym EDD nie mogą zastąpić standardowych środków należytej staranności wobec klienta.

Katalog EDD

Rozszerzone przykłady EDD można znaleźć w Wytycznych na podstawie art. 17 i 18 ust. 4 dyrektywy (UE) 2015/849 dotyczących środków należytej staranności wobec klienta oraz czynników, które instytucje kredytowe i finansowe powinny brać pod uwagę przy ocenie ryzyka ML/TF związanego z indywidualnymi stosunkami gospodarczymi i transakcjami okazjonalnymi („Wytyczne dotyczące czynników ryzyka ML/TF”) z dnia 1 marca 2021 r., opublikowanych przez EBA, zgodnie z którymi: W odniesieniu do PEP:

• podjąć dodatkowe środki w celu ustalenia źródła majątku i źródła środków wykorzystywanych w stosunkach gospodarczych, tak aby instytucja obowiązana mogła mieć pewność, że nie ma do czynienia ze środkami pochodzącymi z korupcji lub innej działalności przestępczej. Źródło majątku i źródło środków powinny być weryfikowane na podstawie rzetelnych i niezależnych danych, dokumentów lub informacji, szczególnie gdy ryzyko związane z PEP jest wysokie lub bardzo wysokie,
• uzyskać zgodę wyższej kadry kierowniczej na nawiązanie lub utrzymanie stosunków gospodarczych z osobą zajmującą eksponowane stanowisko polityczne. Należy określić odpowiedni poziom hierarchiczny osób zatwierdzających, współmierny do poziomu podwyższonego ryzyka, a kierownik wyższego szczebla zatwierdzający relację powinien mieć wystarczająco wysoką pozycję i nadzór, aby podejmować świadome decyzje w sprawach bezpośrednio wpływających na profil ryzyka firmy,
• decydując, czy zatwierdzić stosunki gospodarcze z PEP, wyższa kadra kierownicza powinna opierać swoją decyzję na poziomie ryzyka ML/TF, na które instytucja byłaby narażona, oraz adekwatności narzędzi dostępnych do skutecznego zarządzania tym ryzykiem,
• stosować wzmożone bieżące monitorowanie zarówno transakcji, jak i ryzyk związanych ze stosunkami gospodarczymi. Instytucje powinny identyfikować nietypowe transakcje i regularnie przeglądać posiadane informacje, aby zapewnić terminowe uwzględnianie wszelkich nowych lub pojawiających się informacji (w tym zmian statusu PEP lub negatywnych informacji medialnych). Częstotliwość i intensywność monitorowania powinny być ściśle współmierne do zidentyfikowanego wysokiego ryzyka.

W przypadku relacji korespondenckich (stosowanie wytycznych dotyczących bankowości korespondenckiej i transgranicznych dostawców):

• ustalić i zweryfikować tożsamość respondenta oraz jego beneficjenta rzeczywistego. Korespondenci powinni uzyskać wystarczające informacje o działalności respondenta, jego reputacji oraz jakości sprawowanego nad nim nadzoru, aby określić ryzyko ML/TF. W szczególności korespondenci powinni: (i) ocenić kierownictwo respondenta oraz znaczenie wszelkich powiązań z PEP lub osobami wysokiego ryzyka; (ii) ocenić podstawową działalność respondenta, jego bazę klientów oraz skuteczność jego wewnętrznych mechanizmów kontroli AML/CFT (w tym dokonać przeglądu publicznych informacji o sankcjach regulacyjnych). Jeżeli respondent należy do grupy, należy również uwzględnić reputację AML spółki dominującej oraz mechanizmy kontroli obowiązujące w całej grupie,
• ustalić i udokumentować charakter i cel usługi, a także obowiązki każdej instytucji. Obejmuje to jasne pisemne zrozumienie zakresu relacji, oferowanych produktów oraz sposobu wykorzystania infrastruktury (np. zakazanie lub ścisłą kontrolę „downstream” lub „nested” usług korespondenckich),
• monitorować stosunki gospodarcze i transakcje w celu identyfikacji zmian w profilu ryzyka respondenta oraz wykrywania nietypowych zachowań niezgodnych z deklarowanym celem rachunku. Jeżeli respondent umożliwia korzystanie z „payable-through accounts” (bezpośredni dostęp dla własnych klientów), korespondent musi zweryfikować, czy respondent przeprowadził CDD wobec tych klientów i może na żądanie przekazać odpowiednie dane,
• zapewnić okresowe aktualizacje informacji due diligence w celu odzwierciedlenia zmian w strukturze własności, kierownictwie lub otoczeniu ryzyka respondenta.

W przypadku nietypowych transakcji:

• podjąć rozsądne i odpowiednie środki w celu zrozumienia ekonomicznego uzasadnienia i celu tych transakcji, na przykład poprzez ustalenie źródła i miejsca przeznaczenia środków lub uzyskanie dodatkowych informacji o działalności gospodarczej klienta w celu weryfikacji, czy transakcja jest zgodna z profilem klienta; oraz
• częściej monitorować stosunki gospodarcze i wynikające z nich transakcje, zwiększając głębokość przeglądu. Firma powinna stosować monitorowanie pojedynczych transakcji w czasie rzeczywistym lub po zdarzeniu, jeżeli odbiegają one od oczekiwanej aktywności.

W przypadku kontaktów z osobami fizycznymi lub prawnymi mającymi miejsce zamieszkania, siedzibę lub utworzonymi w państwie trzecim wysokiego ryzyka:

• zgromadzić dodatkowe informacje do celów należytej staranności wobec klienta: (i) ocenę reputacji klienta lub beneficjenta rzeczywistego poprzez pogłębione wyszukiwania (w tym członków rodziny, bliskich współpracowników biznesowych oraz przeszłej/obecnej działalności gospodarczej) i screening negatywnych informacji medialnych; (ii) uzyskanie głębszego zapewnienia co do legalności relacji. Obejmuje to informacje o oczekiwanym wolumenie, wielkości i częstotliwości transakcji, konkretnym powodzie ubiegania się o usługi w innej jurysdykcji oraz charakterze działalności klienta lub UBO w celu rozpoznania prawdopodobnego charakteru przyszłej aktywności,
• potwierdzić tożsamość i zweryfikować środki/aktywa: (i) wymagając, aby pierwsza płatność została dokonana za pośrednictwem rachunku prowadzonego na nazwisko/nazwę klienta w instytucji kredytowej podlegającej podobnym standardom CDD; (ii) podejmując skuteczne środki w celu zapewnienia, że majątek i środki klienta nie pochodzą z działalności przestępczej. Weryfikacja powinna opierać się na deklaracjach VAT lub podatku dochodowego, zbadanych sprawozdaniach finansowych, potwierdzeniach wynagrodzenia lub innych niezależnych i wiarygodnych źródłach,
• zwiększyć częstotliwość i intensywność przeglądów oraz monitorowania: (i) zwiększając częstotliwość przeglądów CDD, aby zapewnić, że ryzyko pozostaje w granicach apetytu firmy na ryzyko; (ii) uzyskując zgodę wyższej kadry kierowniczej na relację; (iii) prowadząc częstsze i bardziej szczegółowe monitorowanie transakcji w celu identyfikacji odchyleń, w tym ustalając miejsce przeznaczenia środków oraz wyraźny powód konkretnych złożonych lub dużych transakcji.

Transakcje budzące podejrzenie prania pieniędzy w Polsce

Polska ustawa AML, a także GIIF i Prokuratura zwracają uwagę na następujące sytuacje, które mogą być wiązane przez instytucje obowiązane z podejrzeniem prania pieniędzy lub finansowania terroryzmu:

• występowanie wysokiej kwoty miesięcznych obrotów na rachunku, w szczególności gdy zaświadczenie o wpisie do ewidencji działalności gospodarczej wskazuje, że działalność była prowadzona przez krótki czas lub dopiero się rozpoczęła,
• transakcje o dużej wartości dokonywane przez osoby, o których pracownicy instytucji obowiązanej wiedzą lub podejrzewają, że nie dysponują gotówką pozwalającą na realizację transakcji,
• lokalizacja siedziby podmiotu w „wirtualnym biurze”,
• wysoka częstotliwość przelewów zlecanych w krótkim okresie na rzecz tego samego beneficjenta przez różnych zleceniodawców, która nie jest uzasadniona rodzajem działalności beneficjenta,
• skokowy wzrost transakcji w stosunku do wartości transakcji dotychczas przeprowadzanych przez danego klienta, bez wyraźnego ekonomicznego uzasadnienia takiego wzrostu,
• wpłaty gotówkowe, jeżeli stanowią większość transakcji dokonywanych na rachunku, chyba że jest to uzasadnione charakterem działalności,
• brak obciążeń wskazujących na rzeczywistą działalność gospodarczą (np. brak przelewów do właściwych urzędów skarbowych, Zakładu Ubezpieczeń Społecznych oraz innych płatności typowych dla danego rodzaju działalności),
• podmiot gospodarczy dokonuje transakcji wyłącznie z tym samym wąskim kręgiem kontrahentów (np. tylko kilkoma podmiotami), podczas gdy istnieją inne okoliczności wskazujące, że podmiot faktycznie nie prowadzi działalności gospodarczej,
• częste zasilanie rachunku bankowego dużymi kwotami tytułem „zwrotu długu”, „darowizny”, „pożyczki”,
• częste wpłaty i wypłaty gotówkowe, które nie są uzasadnione rodzajem działalności zarobkowej,
• realizowanie transakcji o wysokiej wartości za pośrednictwem rachunków, które wcześniej były „uśpione”.

• transakcje są powiązane z państwami trzecimi wysokiego ryzyka, takimi jak Afganistan, Koreańska Republika Ludowo-Demokratyczna (KRLD), Iran, Mjanma, Rosja, Syria, Vanuatu i Jemen, lub z państwami zidentyfikowanymi przez FATF i Komisję Europejską jako posiadające strategiczne braki AML: w tym Algieria, Angola, Boliwia, Bułgaria, Kamerun, Wybrzeże Kości Słoniowej, Demokratyczna Republika Konga, Haiti, Kenia, Kuwejt, Laos, Liban, Monako, Namibia, Nepal, Papua-Nowa Gwinea, Sudan Południowy, Trynidad i Tobago, Wenezuela, Wietnam oraz Brytyjskie Wyspy Dziewicze,

• korzystanie przez klienta z usług lub produktów sprzyjających anonimowości albo utrudniających identyfikację klienta,
• nazwy zleceniodawców lub beneficjentów przelewów wskazują, że podmiot może faktycznie prowadzić działalność gospodarczą inną niż deklarowana,
• liczne transakcje o niejasnych, lakonicznych tytułach (np. wpłaty gotówkowe, przelewy),
• częste transakcje tego samego rodzaju w ciągu jednego dnia, bez uzasadnienia rodzajem prowadzonej działalności,
• nieuzasadniony wybór przez klienta placówki instytucji obowiązanej położonej daleko od miejsca zamieszkania/siedziby lub miejsca prowadzenia działalności klienta,
• odmowa klienta lub widoczna niechęć do okazania dokumentów tożsamości,
• klient, który twierdzi, że prowadzi lub reprezentuje podmiot gospodarczy, nie potrafi odpowiedzieć na pytania dotyczące charakteru działalności,
• podczas zlecenia klientowi towarzyszą inne osoby, które nie są z nim powiązane osobiście ani społecznie, w szczególności gdy klient wykazuje zdenerwowanie z powodu ich obecności
• w odpowiedzi na pytanie pracownika instytucji obowiązanej dotyczące przedstawienia dokumentów uzasadniających dysponowanie określonymi aktywami – przedstawianie dokumentów sporządzonych w pośpiechu, zawierających błędy, budzących wątpliwości co do ich autentyczności (np. antydatowanych),
• wywieranie presji na pracowników instytucji obowiązanej, aby szybko zrealizowali transakcje, bez zastosowania wszystkich wymaganych środków bezpieczeństwa finansowego,
• dokonywanie transakcji w sposób wiążący się z wysokimi kosztami, brak zainteresowania możliwościami obniżenia tych kosztów,
• ustanowienie wielu pełnomocników klienta spośród osób, które nie są współwłaścicielami ani osobami wchodzącymi w skład organów spółki.

Blokada rachunku bankowego w Polsce

W przypadku podejrzenia, że konkretna transakcja lub wartości majątkowe mogą mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, bank (instytucja obowiązana) jest zobowiązany zawiadomić Generalnego Inspektora Informacji Finansowej. W ciągu 24 godzin od potwierdzenia otrzymania zawiadomienia bank nie przeprowadza transakcji, co do której powstało uzasadnione podejrzenie, ani nie przeprowadza transakcji obciążających rachunek, na którym zgromadzono wartości majątkowe. GIIF może skierować do banku żądanie blokady rachunku na okres nie dłuższy niż 96 godzin, liczony od daty i godziny wskazanych w potwierdzeniu przyjęcia zawiadomienia. GIIF zawiadamia właściwego prokuratora o podejrzeniu popełnienia przestępstwa prania pieniędzy lub finansowania terroryzmu. Prokurator może postanowieniem wstrzymać transakcję lub zablokować rachunek na określony czas, nie dłuższy niż 6 miesięcy. Blokada rachunku wygasa, jeżeli w powyższym sześciomiesięcznym okresie prokurator nie wyda innego postanowienia – w tym przypadku: (i) postanowienia o zabezpieczeniu majątkowym albo (ii) postanowienia w przedmiocie dowodów rzeczowych. Od 12 stycznia 2022 r. prokurator może postanowieniem przedłużyć wstrzymanie transakcji lub blokadę rachunku na dalszy określony czas, nieprzekraczający kolejnych 6 miesięcy. Tym samym łączny czas trwania blokady rachunku bankowego wynosi 12 miesięcy, a w przypadku dodatkowego przedłużenia blokady ponad 12 miesięcy prokurator będzie musiał wydać postanowienie uznające środki zgromadzone na rachunkach za dowód rzeczowy w sprawie / wydać postanowienie o zabezpieczeniu. Taka decyzja nie jest już ograniczona w czasie i wyłącznie od prokuratora zależy, kiedy i czy środki zostaną zwolnione spod blokady. Dotychczasowa praktyka pokazywała, że organy ścigania przedłużały blokadę rachunków ponad początkowy okres 6 miesięcy poprzez wydanie postanowienia w przedmiocie dowodów rzeczowych, co wydawało się sprzeczne zarówno z prawem, jak i wytycznymi Prokuratury Generalnej, co doprowadziło do zmian w prawie:

• Sąd Najwyższy uznał, że środki pieniężne (istniejące jako zapisy na rachunkach bankowych) nie mogą być uznane za dowód rzeczowy,
• w odpowiedzi na uchwałę Sądu Najwyższego polski ustawodawca wprowadził art. 236b Kodeksu postępowania karnego, który wbrew stanowisku Sądu Najwyższego wprost dopuszcza uznanie środków na rachunku bankowym za rzecz,
• nowo wprowadzony art. 86 ust. 11a UAML pozwala na jednokrotne przedłużenie blokady o dodatkowe 6 miesięcy, tj. łącznie do 12 miesięcy,
• prawo w tym zakresie działa wstecz – tj. jeżeli prokurator wydał pierwsze postanowienie o blokadzie rachunku przed wejściem w życie powyższego przepisu, np. 20 listopada 2021 r., wówczas prokurator może przedłużyć je o kolejne 6 miesięcy. Gdyby ustawa nie zawierała art. 18, prokurator byłby zobowiązany do wydania postanowienia o zabezpieczeniu majątkowym lub postanowienia w przedmiocie dowodów rzeczowych, a w przeciwnym razie blokada rachunku upadłaby.

W rezultacie należy przyjąć, że zamiast przyspieszać postępowania, organy ścigania będą prowadzić je jeszcze dłużej, co oczywiście będzie miało negatywny wpływ na działalność gospodarczą podmiotów, których rachunki zostały zablokowane. Wszystko to może mieć miejsce nawet bez przedstawienia komukolwiek zarzutu popełnienia przestępstwa prania pieniędzy lub finansowania terroryzmu. W takiej sytuacji „posiadacz rachunku bankowego” nie jest stroną postępowania przygotowawczego, a tym samym nie ma możliwości aktywnego udziału w postępowaniu. Nie ma nawet dostępu do akt sprawy. Jedynym sposobem weryfikacji prawidłowości powyższych decyzji jest ich zaskarżenie, a następnie poddanie ich legalności kontroli sądu. Zwykle trwa to kilka miesięcy, podczas których posiadacz środków nie może nimi dysponować. Zazwyczaj sądy przychylają się do stanowiska prokuratora i dopuszczają kontynuację blokady. Wspomniane zmiany w prawie najprawdopodobniej przyczynią się do częstszych i dłuższych blokad rachunków bankowych.

Środki ochrony przed blokadą polskiego rachunku bankowego

Podmioty, których rachunki bankowe (rachunki płatnicze) zostały zablokowane, mogą skorzystać z następujących środków ochrony swoich praw:

Krok 1 – zażalenie

W terminie 7 dni od otrzymania postanowienia prokuratora o blokadzie rachunku należy złożyć na nie zażalenie. Zazwyczaj Prokuratura uzasadnia swoje decyzje bardzo ogólnie, dlatego polemika z organem ścigania jest trudna. W celu wyjaśnienia sytuacji prokuratorowi warto rozważyć przekazanie mu dokumentów i informacji potwierdzających legalność transakcji/działalności gospodarczej. W przypadku braku wystarczających wyjaśnień można oczekiwać, że sąd utrzyma zaskarżone postanowienie, a tym samym podtrzyma blokadę,

Krok 2 – udział w przesłuchaniach

W toku czynności weryfikacyjnych osoby zarządzające spółką powinny, na wezwanie Policji, wziąć udział w przesłuchaniu w celu wyjaśnienia charakteru działalności gospodarczej, źródeł środków na rachunku oraz podstaw przeprowadzonych transakcji,

Krok 3 – przedłożenie dowodów

Osoby, których środki zostały zablokowane, mogą składać dodatkowe dowody i wyjaśnienia na każdym etapie sprawy. Większość działań będzie sprowadzać się do wyjaśniania legalności źródeł transakcji oraz stałego monitorowania postępów organów ścigania.

Rejestr UBO w Polsce

Od 2019 r. w Polsce działa Centralny Rejestr Beneficjentów Rzeczywistych (CRBR / rejestr UBO). Rejestr ten jest otwartym i publicznie dostępnym systemem teleinformatycznym, który posiada następujące funkcjonalności:

• umożliwia zgłaszanie beneficjentów i reprezentantów podmiotów (np. spółek),
• umożliwia wyszukiwanie beneficjenta rzeczywistego lub spółki (na podstawie numeru identyfikacji podatkowej NIP lub numeru PESEL, a w przypadku osób nieposiadających numeru PESEL – na podstawie imienia, nazwiska i daty urodzenia),
• umożliwia zgłaszanie korekt danych i informacji o beneficjentach, a także zgłaszanie rozbieżności między stanem faktycznym a informacjami widniejącymi w rejestrze.

Beneficjent rzeczywisty / CRBR / rejestr UBO w Polsce – kluczowe informacje

Strona internetowa rejestru UBO	CRBR dostępny pod adresem https://crbr.podatki.gov.pl/adcrbr/#/ i prowadzony przez Ministra Finansów Publicznych
Termin zgłoszenia	W terminie 7 dni od dnia wpisu do Krajowego Rejestru Sądowego (KRS)
Kto jest zobowiązany do zgłoszenia do rejestru UBO	spółki jawne, partnerskie, komandytowe, komandytowo-akcyjne, spółki z ograniczoną odpowiedzialnością, proste spółki akcyjne i spółki akcyjne (z wyjątkiem spółek publicznych), trusty, których powiernicy lub osoby zajmujące równoważne stanowiska (i) mają miejsce zamieszkania lub siedzibę w Rzeczypospolitej Polskiej albo (ii) nawiązują stosunki gospodarcze lub nabywają nieruchomość w Polsce w imieniu lub na rzecz trustu, europejskie zgrupowania interesów gospodarczych, spółki europejskie, spółdzielnie, w tym spółdzielnie europejskie, stowarzyszenia podlegające wpisowi do Krajowego Rejestru Sądowego, fundacje.
Kto nie jest zobowiązany do zgłoszenia do rejestru UBO	Spółki zagraniczne prowadzące działalność w Polsce w formie oddziału zarejestrowanego w Krajowym Rejestrze Sądowym nie podlegają obowiązkowi zgłoszenia do CRBR.
Opłata rejestracyjna i sposób zgłoszenia	Zgłoszenia dokonuje się bezpłatnie za pomocą środków komunikacji elektronicznej. Do złożenia wniosku wymagany jest kwalifikowany podpis elektroniczny albo podpis potwierdzony profilem zaufanym (ePUAP).
Odpowiedzialność karna UBO	Osoba dokonująca zgłoszenia składa jednocześnie oświadczenie o prawdziwości informacji zgłaszanych do CRBR. Oświadczenie, o którym mowa, składane jest pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. Osoba składająca oświadczenie jest zobowiązana do zawarcia następującej klauzuli: „Jestem świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia”.
Więcej o UBO w Polsce	Szczegółowe informacje o obowiązkach zgłoszenia instytucji obowiązanej do CRBR można znaleźć na stronie Ministerstwa Finansów: https://www.gov.pl/web/finanse/zgloszenie-informacji-do-centralnego-rejestru-beneficjentow-rzeczywistych

Kara za brak zgłoszenia lub nieprawidłowe zgłoszenie UBO

Brak zgłoszenia w terminie	kara pieniężna do 1 000 000 PLN
Niespójne zgłoszenie	kara pieniężna do 1 000 000 PLN

Ustalanie beneficjenta rzeczywistego w Polsce – kim jest UBO?

Zgodnie z polską ustawą AML każda osoba fizyczna która bezpośrednio lub pośrednio sprawuje kontrolę nad podmiotem (klientem instytucji obowiązanej) poprzez posiadane uprawnienia, które wynikają z okoliczności prawnych lub faktycznych, umożliwiające jej wywieranie decydującego wpływu na czynności lub działania podejmowane przez podmiot (klienta), albo każda osoba fizyczna, w imieniu której nawiązywane są stosunki gospodarcze lub przeprowadzana jest transakcja okazjonalna, w tym: dla spółek:

Pytanie 1 – 25 % udziałów?

Osoba fizyczna będąca udziałowcem lub akcjonariuszem, której przysługuje prawo własności do więcej niż 25% ogólnej liczby udziałów lub akcji tej osoby prawnej

Pytanie 1 – 25 % głosów?

Osoba fizyczna posiadająca więcej niż 25% ogólnej liczby głosów w organie stanowiącym takiej osoby prawnej, także jako zastawnik lub użytkownik albo na podstawie porozumień z innymi osobami uprawnionymi do głosu

Pytanie 3 – kontrola przekraczająca 25 %?

Osoba fizyczna sprawująca kontrolę nad osobą prawną lub osobami prawnymi, które łącznie posiadają więcej niż 25% ogólnej liczby udziałów lub akcji albo które łącznie posiadają więcej niż 25% ogólnej liczby głosów w organie stanowiącym takiej osoby prawnej, także jako zastawnik lub użytkownik albo na podstawie porozumień z innymi osobami uprawnionymi do głosu

Pytanie 4 – szczególne uprawnienia?

Osoba fizyczna sprawująca kontrolę nad osobą prawną poprzez posiadanie szczególnych uprawnień, o których mowa w art. 3 ust. 1 pkt 37 ustawy o rachunkowości z dnia 29 września 1994 r. (np. uprawnienie do kierowania polityką finansową i operacyjną jednostki zależnej, samodzielnie lub przez osoby przez nią wyznaczone; uprawnienie do powoływania i odwoływania większości członków organów zarządzających, nadzorczych lub administracyjnych jednostki zależnej)

Pytanie 5 – niemożność ustalenia UBO – zarząd?

Osoba fizyczna zajmująca wyższe stanowisko kierownicze w przypadku udokumentowanej niemożności ustalenia lub wątpliwości co do tożsamości osób fizycznych, o których mowa w pierwszym-czwartym tiret, oraz w przypadku braku stwierdzenia podejrzenia prania pieniędzy lub finansowania terroryzmu,

Zgłoszenie do rejestru UBO w Polsce

Zgłoszenia do CRBR może dokonać zgodnie z art. 61 ust. 1 ustawy AML wyłącznie osoba ustawowo uprawniona do reprezentowania instytucji obowiązanej (np. zarząd) albo powiernik lub osoba zajmująca równoważne stanowisko w przypadku trustów. Jeżeli w spółce prokurent jest uprawniony do reprezentowania spółki, może zgłosić informacje do CRBR.

Stosowanie środków bezpieczeństwa i outsourcing – wymagania polskiej ustawy AML

Zgodnie z art. 48 ustawy AML instytucje obowiązane mogą powierzać stosowanie środków bezpieczeństwa finansowego oraz prowadzenie i dokumentowanie wyników bieżącej analizy transakcji innym podmiotom. Należy jednak podkreślić, że outsourcing nie zwalnia instytucji obowiązanej z odpowiedzialności za stosowanie środków bezpieczeństwa finansowego. W związku z tym wszelkie błędy popełnione przez podmiot trzeci będą obciążać instytucję obowiązaną karami administracyjnymi (odpowiedzialność kontraktowa między instytucją a podmiotem trzecim jest oczywiście odrębną kwestią).

Komu można delegować obowiązki AML

Polska ustawa AML wskazuje, że stosowanie środków bezpieczeństwa może zostać powierzone: (i) osobie fizycznej, (ii) osobie prawnej lub (iii) jednostce organizacyjnej nieposiadającej osobowości prawnej. Niezbędnym warunkiem powierzenia jest uregulowanie wzajemnych relacji w taki sposób, aby podmiot a) działał w imieniu i na rzecz instytucji obowiązanej oraz b) był traktowany jako część instytucji obowiązanej (obowiązek ten musi wynikać z umowy wiążącej strony). Między instytucją obowiązaną a podmiotem trzecim musi istnieć rzeczywista więź organizacyjna, z której jasno wynika, że podmiot trzeci jest uznawany za część instytucji obowiązanej. Podmiot trzeci nie musi być instytucją obowiązaną ani innym podmiotem zobowiązanym na podstawie własnych regulacji do wykonywania obowiązków AML/CFT. Umowa wiążąca strony musi mieć formę pisemną. Najczęściej będzie to umowa agencyjna albo umowa outsourcingowa. Warto zauważyć, że umowa outsourcingowa (agencyjna) również nie zwalnia AMLO z odpowiedzialności, jeżeli zakres wykonywanych przez niego zadań obejmuje czynności podejmowane wobec podmiotu outsourcingowego.

Stanowisko polskiego organu nadzoru finansowego dotyczące wytycznych outsourcingowych

16 września 2019 r. Komisja Nadzoru Finansowego (UKNF) wydała stanowisko w sprawie wybranych zagadnień związanych z wejściem w życie Wytycznych EBA dotyczących outsourcingu. Stanowisko to pozostaje podstawowym standardem „dobrych praktyk”, ale obecnie musi być stosowane łącznie z rozporządzeniem (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) w odniesieniu do wszystkich usług związanych z ICT. UKNF oczekuje od instytucji płatniczych przyjęcia tych standardów jako części ram ciągłości operacyjnej. Najistotniejsze kwestie, zaktualizowane pod kątem obecnych wymogów regulacyjnych, obejmują:

• Zamknięty katalog i graficzne przedstawienia: Umowa outsourcingowa musi zawierać zamknięty katalog procesów, usług i czynności. Kluczowym wymogiem utrzymanym przez UKNF jest to, aby załączniki zawierały graficzne przedstawienia (schematy przepływu) procesów outsourcingowych. Muszą one jasno wskazywać podmiot decyzyjny na każdym etapie oraz, zgodnie z obecnymi standardami, określać „step-in rights” i punkty kontroli, w których instytucja finansowa nadzoruje dostawcę.
• Identyfikacja ryzyka i odporność operacyjna: Instytucje muszą identyfikować, oceniać i monitorować wszystkie ryzyka wynikające z outsourcingu. Na gruncie DORA obejmuje to obecnie nie tylko ogólne ryzyko, lecz także „cyfrową odporność operacyjną”, wymagającą regularnego testowania systemów ICT oraz prowadzenia Rejestru Informacji dla wszystkich ustaleń umownych z zewnętrznymi dostawcami usług.
• Lokalizacja dostawcy usług i chmura obliczeniowa: Przy zawieraniu umów instytucje muszą uwzględniać prawne i organizacyjne konsekwencje lokalizacji dostawcy usług. Jest to dodatkowo regulowane przez Komunikat UKNF dotyczący chmury, który nakłada rygorystyczne wymogi dotyczące rezydencji i suwerenności danych, szczególnie w przypadku dostawców zlokalizowanych poza Europejskim Obszarem Gospodarczym (EOG), wymagając formalnej oceny skutków transferu (TIA).
• Zawiadamianie o funkcjach krytycznych lub ważnych: Instytucje muszą zawiadamiać UKNF lub prowadzić z nim dialog regulacyjny w sprawie outsourcingu funkcji krytycznych lub ważnych. DORA sformalizowała ten wymóg, nakazując instytucjom ocenę, czy dostawca usług jest „krytycznym zewnętrznym dostawcą usług ICT”, oraz zapewnienie udokumentowania i przetestowania strategii wyjścia (w tym planów przejścia do innych dostawców).
• Ochrona informacji wrażliwych i cyberbezpieczeństwo: Umowa musi zawierać zobowiązanie dostawcy usług do ochrony danych poufnych i osobowych. W obecnym otoczeniu obejmuje to ścisłą zgodność z RODO oraz podwyższone standardy cyberbezpieczeństwa wymagane przez DORA, zapewniające integralność i dostępność danych finansowych przez cały czas.
• Zasoby i zdolność nadzorcza („retained organization”): Instytucja musi utrzymywać wystarczające wewnętrzne zasoby i kompetencje do kontroli czynności objętych outsourcingiem. UKNF podkreśla, że instytucje nie mogą stać się „pustymi skorupami”; muszą zachować „retained organization” zdolną do monitorowania wyników dostawcy oraz zapewniania zgodności ze standardami nadzorczymi i umową outsourcingową.

Generalny Inspektor Informacji Finansowej w Polsce

Generalny Inspektor Informacji Finansowej (GIIF) jest jednym z dwóch organów administracji (obok Ministra Finansów), którym powierzono zadania w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu w Polsce. GIIF, jako centralny element polskiego systemu, ma relatywnie największy wpływ na funkcjonowanie całego systemu. Z punktu widzenia instytucji obowiązanych, a także uczestników rynku (np. osób posiadających rachunki bankowe), GIIF jest również głównym punktem informacji, ponieważ otrzymuje zawiadomienia o rzeczywistych lub potencjalnych naruszeniach UAML oraz przepisów o finansowaniu terroryzmu od pracowników, byłych pracowników instytucji obowiązanych lub innych osób, które wykonują lub wykonywały czynności na rzecz instytucji obowiązanych na podstawie innej niż stosunek pracy. GIIF wykonuje takie zadania jak:

• analizowanie informacji dotyczących wartości majątkowych, które Generalny Inspektor podejrzewa o związek z przestępstwem prania pieniędzy lub finansowania terroryzmu,
• prowadzenie procedury wstrzymania transakcji lub blokady rachunku,
• żądanie i udostępnianie informacji o transakcjach,
• przekazywanie uprawnionym organom informacji i dokumentów uzasadniających podejrzenie popełnienia przestępstwa,
• wymianę informacji z jednostkami współpracującymi,
• przygotowywanie krajowej oceny ryzyka prania pieniędzy i finansowania terroryzmu oraz strategii przeciwdziałania tym przestępstwom we współpracy z jednostkami współpracującymi i instytucjami obowiązanymi,
• sprawowanie kontroli nad przestrzeganiem przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu,
• wydawanie decyzji w sprawach wpisu na listę lub wykreślenia z listy osób i podmiotów, wobec których stosuje się szczególne środki ograniczające, o których mowa w art. 117 ustawy AML, oraz prowadzenie tej listy,
• współpracę z właściwymi organami innych państw, a także zagranicznymi instytucjami i organizacjami międzynarodowymi zajmującymi się przeciwdziałaniem
• wymianę informacji z zagranicznymi jednostkami analityki finansowej, w tym utrzymywanie punktu kontaktowego dla takiej wymiany,
• nakładanie kar administracyjnych, o których mowa w ustawie,
• udostępnianie w Biuletynie Informacji Publicznej na stronie internetowej urzędu obsługującego ministra właściwego do spraw finansów publicznych wiedzy i informacji dotyczących regulacji w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu,
• przetwarzanie informacji w sposób określony w ustawie,
• inicjowanie innych działań w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Generalny Inspektor jest administratorem systemu teleinformatycznego służącego przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu dostępnego pod następującym linkiem: https://www.giif.mofnet.gov.pl/#/glowna Aktualności i komunikaty dotyczące działalności Generalnego Inspektora Informacji Finansowej (odnoszące się do praktycznego stosowania przepisów polskiej UAML) można znaleźć na stronie Ministerstwa Finansów: https://www.gov.pl/web/finanse/komunikaty-giif.

Raportowanie informacji do GIIF

Krajowe instytucje obowiązane na podstawie UAML są zobowiązane do:

• zgłoszenia podmiotu jako instytucji obowiązanej do GIIF,
• raportowania transakcji ponadprogowych (art. 72 ustawy AML),
• zawiadamiania GIIF o możliwości popełnienia przestępstwa (art. 74 ustawy AML),
• zawiadamiania GIIF o transakcji podejrzanej (art. 86 ustawy AML),
• zawiadamiania właściwego prokuratora w przypadku uzasadnionego podejrzenia, że wartości majątkowe będące przedmiotem transakcji lub zgromadzone na rachunku pochodzą z przestępstwa innego niż pranie pieniędzy lub finansowanie terroryzmu albo przestępstwa skarbowego, lub mają związek z przestępstwem innym niż pranie pieniędzy lub finansowanie terroryzmu albo przestępstwem skarbowym (art. 89 ust. 8 ustawy AML).

Ad A. Formularz identyfikacyjny

W celu wykonania obowiązków przewidzianych polską ustawą AML i nałożonych na instytucje obowiązane w zakresie przekazywania GIIF informacji dotyczących transakcji oraz składania zawiadomień wskazanych w punktach B – D powyżej, instytucja obowiązana jest zobowiązana do przekazania GIIF formularza identyfikacyjnego instytucji obowiązanej dostępnego pod linkiem: https://www.giif.mofnet.gov.pl/#/glowna/identyfikacja Formularz powinien zawierać:

• nazwę (firmę) wraz ze wskazaniem formy organizacyjnej instytucji obowiązanej,
• NIP instytucji obowiązanej,
• identyfikację rodzaju działalności prowadzonej przez instytucję obowiązaną,
• adres siedziby lub prowadzenia działalności, przy czym spójnik „lub” wskazuje, że wystarczający jest jeden z tych adresów,
• imię, nazwisko, stanowisko, numer telefonu i adres elektronicznej skrzynki pocztowej pracownika, o którym mowa w art. 8 UAML, tj. tzw. AML Officera,
• nazwę (firmę) i NIP albo imię, nazwisko i PESEL podmiotu pośredniczącego, o którym mowa w art. 73 ust. 1 UAML, jeżeli korzysta się z podmiotu pośredniczącego.

W przypadku zmiany powyższych danych, z wyjątkiem zmiany numeru NIP instytucji obowiązanej, istnieje konieczność niezwłocznej aktualizacji danych zgłoszonych do GIIF. Formularz identyfikujący instytucję obowiązaną składa się do GIIF za pomocą środków komunikacji elektronicznej albo w formie papierowej kopii formularza, podpisanej przez osobę odpowiedzialną i doręczonej przez przedstawiciela spółki lub operatora pocztowego. Szczegółowe instrukcje można znaleźć na stronie: https://www.giif.mofnet.gov.pl/nowa/#/glowna/jak-dodac-io

Ad B. Transakcje ponadprogowe

Transakcja ponadprogowa to transakcja o równowartości 15 000 EUR lub większej (obliczanej według średniego kursu ogłoszonego przez Narodowy Bank Polski (NBP), obowiązującego w dniu dokonania transakcji lub w dniu zlecenia dokonania transakcji), niezależnie od tego, czy transakcja jest realizowana jako pojedyncza operacja, czy jako kilka operacji, które wydają się ze sobą powiązane. Instytucje obowiązane (oprócz przedsiębiorstw prowadzących działalność w zakresie wymiany walut, notariuszy, adwokatów i doradców podatkowych, pośredników w obrocie nieruchomościami) są zobowiązane do przekazywania GIIF informacji o:

• przyjętej wpłacie lub dokonanej wypłacie środków o równowartości przekraczającej 15 000 EUR [zgodnie z komunikatem GIIF nr 11 z 11 lipca 2019 r. obowiązek ten dotyczy wyłącznie transakcji przyjętej wpłaty gotówkowej (do kasy raportującej instytucji obowiązanej lub na rachunek płatniczy prowadzony przez raportującą instytucję obowiązaną) albo dokonanej wypłaty gotówkowej (z kasy raportującej instytucji obowiązanej lub z rachunku płatniczego prowadzonego przez raportującą instytucję obowiązaną). W szczególności: potoczne rozumienie zwrotu „wpłata na rachunek” jako przelewu środków na rachunek albo przelewu środków na rachunek prowadzony w instytucji innej niż ta przyjmująca wpłatę w rzeczywistości odnosi się do transferu środków (który jest więc raportowany jako transfer przez instytucję go wykonującą). Jednocześnie należy wskazać, że zapłata za transakcję przy użyciu karty płatniczej/kredytowej nie stanowi wpłaty gotówkowej. Ponadto zapłata za transakcję częściowo gotówką, a częściowo innymi środkami (np. kartą płatniczą, przelewem itp.) wymaga ustalenia zasadności raportowania wpłaty gotówkowej. Zgodnie z art. 72 ust. 1 pkt 1 UAML instytucja obowiązana przekazuje informację o przyjętej wpłacie (gotówkowej), a nie o transakcji zakupu lub zawarciu jakiejkolwiek innej powiązanej umowy. Na przykład, gdy płatność za towary o wartości 80 000 PLN – 20 000 PLN została zapłacona gotówką w kasie sprzedawcy, a 60 000 PLN przelano na rachunek płatniczy sprzedawcy. Sprzedawca nie jest zobowiązany do przekazania informacji o płatności 80 tys. PLN – obowiązek dotyczy informacji o przyjętej płatności gotówkowej przekraczającej 15 tys. EUR, a w tym przypadku sprzedawca przyjął 20 tys. PLN w gotówce, tj. kwotę poniżej progu określonego w ustawie].
• wykonanym transferze środków o równowartości przekraczającej 15 000 EUR, z wyjątkiem:
  • transferu środków między rachunkiem płatniczym a rachunkiem lokaty terminowej należącymi do tego samego klienta w tej samej instytucji obowiązanej,
  • krajowego transferu środków z innej instytucji obowiązanej,
  • transakcji związanej z gospodarką własną instytucji obowiązanej, która została przeprowadzona przez instytucję obowiązaną we własnym imieniu i na własny rachunek,
  • w tym transakcji zawartej na rynku międzybankowym,
  • transakcji przeprowadzonej w imieniu lub na rzecz jednostek sektora finansów publicznych, o których mowa w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, transakcji przeprowadzonej przez bank zrzeszający banki spółdzielcze, jeżeli informacja o transakcji została przekazana przez zrzeszony bank spółdzielczy,
  • transferu zabezpieczającego aktywa wykonanego na czas trwania umowy transferu z instytucją obowiązaną.

Obowiązek określony w punkcie 2 powyżej dotyczy wyłącznie przekazywania informacji przez instytucję wykonującą transfer (realizującą zlecenie/dyspozycję klienta w tym zakresie, z wyjątkiem informacji o transakcjach, o których mowa w ust. 2 art. 72 UAML) – a więc dotyczy wyłącznie dostawców usług płatniczych. Należy zauważyć, że obowiązek przekazania informacji, o którym mowa w punkcie 2 powyżej, dotyczy również transferu środków spoza terytorium Rzeczypospolitej Polskiej do odbiorcy, którego dostawca usług płatniczych jest instytucją obowiązaną. Termin raportowania transakcji ponadprogowych wynosi 7 dni od:

• przyjęcia wpłaty lub dokonania wypłaty środków,
• wykonania transakcji płatniczej polegającej na transferze środków,
• udostępnienia środków odbiorcy,
• przeprowadzenia lub pośredniczenia w kupnie lub sprzedaży walut obcych.

Obowiązek zgłoszeniowy obejmuje przede wszystkim identyfikację przedmiotu podstawowego, a także:

• unikalny identyfikator transakcji w ewidencji instytucji obowiązanej,
• datę albo datę i godzinę transakcji,
• dane identyfikacyjne, o których mowa w art. 36 ust. 1 UAML, klienta wydającego dyspozycję lub zlecenie przeprowadzenia transakcji,
• posiadane dane identyfikacyjne, o których mowa w art. 36 ust. 1 UAML, pozostałych stron transakcji,
• kwotę i walutę transakcji albo wagę i próbę złota dewizowego lub platyny dewizowej będących przedmiotem transakcji,
• rodzaj transakcji,
• tytuł transakcji,
• sposób wydania dyspozycji lub zlecenia wykonania transakcji,
• numery rachunków wykorzystanych do przeprowadzenia transakcji oznaczone identyfikatorem Międzynarodowego Numeru Rachunku Bankowego (IBAN) albo identyfikatorem zawierającym kod kraju i numer rachunku w przypadku rachunków nieoznaczonych IBAN.

Przekazanie informacji o transakcji ponadprogowej odbywa się w 3 krokach:

• wypełnienie odpowiedniego formularza informacji o transakcji ponadprogowej w SI*GIIF

(https://www.giif.mofnet.gov.pl/#/glowna/transakcje)

• wygenerowanie podglądu dokumentu z użyciem e-podpisu,
• zapisanie wygenerowanego dokumentu na dysku komputera i przesłanie go do GIIF elektronicznie lub w formie papierowej,
• zalogowanie się do SI*GIIF i sprawdzenie statusu wysłanej informacji.

Szczegółowe instrukcje można znaleźć pod adresem: https://www.giif.mofnet.gov.pl/nowa/#/glowna/jak-wyslac-transakcje

Ad C. Zawiadomienie Generalnego Inspektora Informacji Finansowej o możliwym przestępstwie

W szczególności nietypowe, niejasne, wątpliwe, nienormalne, niezwykłe lub nadzwyczajne okoliczności, polegające na działaniach niezgodnych ze znanym i udokumentowanym charakterem działalności klienta, albo wystąpienie nietypowych obrotów dla określonego rodzaju rachunku, umowy lub kontraktu, które mogą stanowić symptomy uzasadnionego podejrzenia prania pieniędzy, uznaje się za okoliczności powodujące podejrzenie prania pieniędzy. KIP jest zobowiązana zawiadomić GIIF w terminie 2 dni roboczych o okolicznościach uzasadniających popełnienie przestępstwa. Zawiadomienie powinno zawierać informacje wskazane w art. 74 ust. 3 AML. Zawiadomienie składane jest w formie elektronicznej w systemie GIIF w zakładce „Chcę wysłać e-zawiadomienie”: https://www.giif.mofnet.gov.pl/nowa/#/glowna

Ad D. Zawiadomienie Generalnego Inspektora Informacji Finansowej o transakcji podejrzanej

Jeżeli instytucja obowiązana ma uzasadnione podejrzenie, że konkretna transakcja lub wartości majątkowe mogą mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, jest zobowiązana niezwłocznie zawiadomić GIIF. Zawiadomienie składane jest w taki sam sposób jak w punkcie C. W treści zawiadomienia Spółka powinna zawrzeć informacje wskazane w art. 74 ust. 3 UAML. Po otrzymaniu zawiadomienia GIIF potwierdza jego otrzymanie w formie urzędowego poświadczenia odbioru, zawierającego w szczególności datę i godzinę otrzymania zawiadomienia. Do czasu otrzymania odpowiedniego żądania lub zwolnienia od GIIF, jednak nie dłużej niż przez 24 godziny liczone od momentu potwierdzenia otrzymania zawiadomienia, Spółka nie przeprowadza transakcji ani innych operacji obciążających rachunek, na którym zgromadzono wartości majątkowe. Zawiadomienie składane jest w formie elektronicznej w systemie GIIF w zakładce „Chcę wysłać e-zawiadomienie” https://www.giif.mofnet.gov.pl/nowa/#/glowna

Ad E. Zawiadomienie prokuratora o transakcji podejrzanej

Zgodnie z art. 89 polskiej ustawy AML instytucja obowiązana niezwłocznie zawiadamia właściwego prokuratora, jeżeli ma uzasadnione podejrzenie, że wartości majątkowe będące przedmiotem transakcji lub zgromadzone na rachunku pochodzą z przestępstwa innego niż pranie pieniędzy lub finansowanie terroryzmu albo przestępstwa skarbowego, lub mają związek z takim przestępstwem. Następnie instytucja obowiązana niezwłocznie zawiadamia GIIF o (każdej) decyzji prokuratora. Ustawa nie przewiduje szczególnej formy komunikacji z prokuratorem, jednak ze względu na cel zawiadomienia i potrzebę szybkiego działania w literaturze przyjmuje się, że zawiadomienie może zostać złożone elektronicznie, np. za pośrednictwem platformy ePUAP albo co najmniej na adres e-mail właściwej prokuratury.

Czy działalność niepłatnicza podlega polskim przepisom AML?

Zgodnie z polską ustawą AML krajowe instytucje płatnicze, krajowe instytucje pieniądza elektronicznego, oddziały unijnych instytucji płatniczych, oddziały unijnych i zagranicznych instytucji pieniądza elektronicznego, biura usług płatniczych i agenci rozliczeniowi są uznawani za instytucje obowiązane, co oznacza, że powinny przestrzegać przepisów polskiej ustawy AML, w tym obowiązku stosowania środków bezpieczeństwa finansowego / KYC wobec swoich klientów. Powstaje istotne pytanie – czy hybrydowa instytucja płatnicza powinna stosować środki bezpieczeństwa finansowego / KYC wobec swoich klientów przy świadczeniu usług niepłatniczych? Zgodnie z Departamentem Informacji Finansowej Ministerstwa Finansów, jeżeli podmiot świadczy usługi płatnicze jako (np. krajowa/mała) instytucja płatnicza i ta część jego działalności jest formalnie wyodrębniona oraz prowadzone są dla niej odrębne ewidencje w odniesieniu do tych usług, UAML nie zabrania takiemu podmiotowi prowadzenia innej działalności gospodarczej, która (inna działalność) nie będzie podlegać wymaganiom właściwym dla instytucji obowiązanych na podstawie UAML. Należy również zauważyć, że instytucje obowiązane, zgodnie z art. 50 ustawy AML, wdrażają wewnętrzną procedurę przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, a w opisanym powyżej przypadku powinny jasno określić zasady postępowania stosowane przez instytucję obowiązaną w odniesieniu do tej części (niepłatniczej) jej działalności.

Regulacje AML w Polsce – FAQ

Kim są instytucje obowiązane AML w Polsce?

Lista instytucji obowiązanych AML jest obszerna i zawarta w polskiej ustawie AML. Obejmuje ona m.in. banki krajowe, oddziały banków zagranicznych, oddziały instytucji kredytowych, unijne instytucje płatnicze, krajowe instytucje pieniądza elektronicznego, małe instytucje płatnicze

Czy zajmowanie stanowiska kierowniczego jest tym samym co bycie członkiem zarządu?

Nie. Należy wyraźnie odróżnić pojęcie stanowiska kierowniczego od członka zarządu, które jest pojęciem kwalifikowanym w stosunku do AML officera.

Kim jest osoba zajmująca eksponowane stanowisko polityczne (PEP) w Polsce?

Zgodnie z polską ustawą AML osoby zajmujące eksponowane stanowiska polityczne (PEP) definiuje się jako osoby fizyczne pełniące znaczące funkcje publiczne lub zajmujące znaczące stanowiska publiczne.

Czy w Polsce istnieje rejestr UBO?

Tak, w Polsce istnieje publiczny rejestr UBO – https://crbr.podatki.gov.pl/adcrbr/#/

Kto jest uznawany za beneficjenta rzeczywistego w Polsce zgodnie z regulacjami AML?

Zgodnie z polską ustawą AML każda osoba fizyczna, która bezpośrednio lub pośrednio sprawuje kontrolę nad podmiotem poprzez posiadane uprawnienia, które wynikają z okoliczności prawnych lub faktycznych, umożliwiające jej wywieranie decydującego wpływu na czynności lub działania podejmowane przez podmiot, albo każda osoba fizyczna, w imieniu której nawiązywane są stosunki gospodarcze lub przeprowadzana jest transakcja okazjonalna, w tym: dla spółek, np. posiada 25% udziałów?